Une faille zero-day nouvellement découverte pourrait potentiellement contourner BitLocker sur les appareils Microsoft.
Le célèbre chasseur de failles zero-day Nightmare Eclipse a publié un nouvel exploit qui, selon lui, peut contourner BitLocker. La vulnérabilité, nommée GreatXML, générerait une invite de commande avec un accès complet aux volumes BitLocker sur les systèmes où une analyse Microsoft Defender hors ligne a déjà été effectuée.
Le chercheur a publié le code sur GitHub et d’autres plateformes. GreatXML fait suite à RoguePlanet, une autre faille zero-day qui permet une élévation de privilèges locaux et offre un accès SYSTEM.
Comment fonctionne le contournement de BitLocker
Selon Nightmare Eclipse, l’exploit nécessite la copie de « unattend.xml » et du dossier « Recovery » à la racine de la partition de récupération. Ensuite, un redémarrage dans WinRE est requis via Maj+clic sur Redémarrer. Si tout est exécuté correctement, un shell avec un accès illimité au volume BitLocker devrait apparaître.
Un chercheur en sécurité a testé les étapes et a conclu que l’explication de Nightmare Eclipse pourrait contenir des erreurs. Lors de ses tests, l’invite de commande n’est apparue que lors de l’analyse Defender hors ligne suivante. De plus, l’accès aux droits d’administrateur est requis pour déclencher une telle analyse, ce qui limite la faisabilité pratique de l’exploit.
Microsoft a confirmé à The Register être au courant de RoguePlanet et examiner les revendications. L’entreprise n’a pas encore réagi concernant GreatXML. Microsoft a toutefois souligné qu’aucune des vulnérabilités n’avait été signalée via les canaux officiels avant leur publication.