Une faille BitLocker permettrait d’accéder à des disques chiffrés Windows : un PoC publié
Une nouvelle faille de sécurité visant BitLocker inquiète actuellement la communauté cybersécurité. Un chercheur a publié un exploit Proof of Concept (PoC) baptisé « YellowKey » qui permettrait de contourner la protection BitLocker sur certains systèmes Windows 11 et Windows Server.
Le problème est particulièrement sensible car BitLocker est aujourd’hui activé par défaut sur de nombreux PC Windows 11 afin de protéger les données en cas de vol ou d’accès physique au disque.
Une faille BitLocker exploitée via une clé USB
Selon les informations publiées par BleepingComputer et Tom’s Hardware, la faille exploite le fonctionnement de l’environnement de récupération Windows (WinRE).
Le scénario est relativement simple :
- des fichiers spécifiques sont copiés sur une clé USB
- le PC démarre dans l’environnement WinRE
- l’exploit déclenche ensuite une invite de commande élevée
- le disque BitLocker devient accessible sans demander la clé de récupération
Le chercheur affirme que la faille fonctionne notamment sur :
- Windows 11
- Windows Server 2022
- Windows Server 2025
Windows 10 ne semblerait pas concerné selon les premiers tests.
Une attaque nécessitant un accès physique
Le point important est que cette vulnérabilité nécessite un accès physique à la machine.
L’attaquant doit pouvoir :
- accéder au PC
- brancher une clé USB
- démarrer dans l’environnement de récupération Windows
Il ne s’agit donc pas d’une faille exploitable à distance via Internet.
Cependant, cela reste problématique pour :
- les ordinateurs portables volés
- les machines d’entreprise
- les serveurs physiquement accessibles
- les postes sensibles utilisant uniquement TPM sans PIN BitLocker
Le chercheur Kevin Beaumont a confirmé avoir reproduit le problème sur certains systèmes.
BitLocker et WinRE au cœur du problème
La faille exploiterait le fait que certains composants WinRE conservent un accès au volume déchiffré pendant certaines phases de récupération système ou de démarrage.
Le PoC utiliserait notamment :
- des transactions NTFS
- des fichiers spéciaux placés dans
System Volume Information - des mécanismes internes liés à WinRE
Cela permettrait de contourner certaines protections BitLocker sur des configurations TPM-only.
Les configurations utilisant TPM + PIN pourraient être mieux protégées, même si le chercheur affirme disposer d’autres variantes non publiées.
Microsoft n’a pas encore publié de correctif
À l’heure actuelle, Microsoft n’a pas encore publié de correctif officiel ni attribué de CVE publique à YellowKey.
Le contexte est également particulier car le chercheur « Chaotic Eclipse » avait déjà publié récemment plusieurs zero-days Windows après avoir accusé Microsoft d’avoir ignoré certains rapports de sécurité.
Parmi les précédentes vulnérabilités publiées :
- BlueHammer
- RedSun
- UnDefend
- GreenPlasma
Microsoft avait finalement corrigé discrètement certaines d’entre elles après publication publique des PoC.
BitLocker a déjà connu plusieurs problèmes récents
Cette nouvelle vulnérabilité intervient alors que BitLocker a déjà rencontré plusieurs incidents ces derniers mois.
Récemment, certaines mises à jour Windows 11 comme KB5083769 et KB5082052 provoquaient des demandes inattendues de récupération BitLocker sur certains PC après modification des fichiers de démarrage et des paramètres TPM/PCR7.
Microsoft a depuis publié des correctifs pour Windows 11 25H2 avec KB5089549 afin de résoudre ces problèmes de récupération forcée. notre précédent article sur les problèmes BitLocker liés aux mises à jour KB5083769 et KB5082052
Ces incidents montrent à quel point BitLocker dépend fortement :
- du TPM
- du Secure Boot
- des PCR UEFI
- de WinRE
- de la chaîne de démarrage Windows
Toute modification dans ces composants peut avoir un impact direct sur le mécanisme de protection des volumes.
Faut-il désactiver BitLocker ?
Pour le moment, non.
Même avec cette faille, BitLocker reste une protection importante contre :
- le vol de données
- l’accès direct au disque
- les attaques hors ligne classiques
En revanche, cette affaire rappelle qu’un chiffrement disque dépend aussi :
- de la sécurité du firmware
- du TPM
- de l’environnement de récupération
- de la configuration de démarrage
Les administrateurs et utilisateurs sensibles peuvent envisager plusieurs mesures complémentaires :
- utiliser BitLocker avec TPM + PIN
- protéger l’accès BIOS/UEFI par mot de passe
- désactiver le boot USB si possible
- surveiller les futures mises à jour Microsoft
L’article Une faille BitLocker permettrait d’accéder à des disques chiffrés Windows : un PoC publié est apparu en premier sur malekal.com.
