两个未修复微软 Win11 漏洞披露，涉及 BitLocker 绕过和本地提权

[microka]

https://www.ithome.com/0/950/111.htm

IT 之家 5 月 14 日消息，科技媒体 bleepingcomputer 昨日（ 5 月 13 日）发布博文，报道称网络安全专家 Chaotic Eclipse 披露 YellowKey 与 GreenPlasma 两个漏洞，影响 Windows 11 、Windows Server 2022/2025 等系统。

基于披露的漏洞细节，YellowKey 可以绕过系统的 BitLocker 防护，影响 Windows 11 、Windows Server 2022 、Windows Server 2025 等系统。

Eclipse 指出在 USB 优盘中放入特制的 FsTx 文件，或者写入目标磁盘的 EFI 分区，再重启进入 WinRE ，通过按住 CTRL 键触发 shell 。若利用成功，这个 shell 将直接访问受 BitLocker 保护、但已在启动流程中自动解锁的存储卷。

独立安全研究员 Kevin Beaumont 确认 YellowKey 有效，并建议启用 BitLocker PIN 与 BIOS 密码缓解风险。Will Dormann 也确认了基于 USB 中 FsTx 文件的利用链，但未复现 EFI 分区路径。

不过对于普通用户而言，影响范围相对有限，现阶段公开的 YellowKey 漏洞概念验证仅支持开启 TPM BitLocker 保护且无密码保护的设备。

而另一个 GreenPlasma 漏洞则用于本地提权，普通权限用户可在 SYSTEM 可写的目录对象中创建任意内存节对象，进而影响信任这些路径的高权限服务或驱动。

不过，当前披露的概念验证并不完整，缺少拿到完整 SYSTEM shell 的关键组件，因此外界暂时只能确认存在提权思路，还不能把它视为开箱即用的完整攻击工具。

https://github.com/Nightmare-Eclipse/YellowKey
https://deadeclipse666.blogspot.com/2026/05/were-doing-silent-patches-now-huh-also.html
https://github.com/Nightmare-Eclipse/GreenPlasma

[datou]

居然是 win11 和 ws2022/2025 有效，win10 无效的漏洞

[xqzr]

@datou “等系统”

[hydraegret]

已经算是被攻破了（没人用 pin+bios 密码）

[datou]

@xqzr only windows 11 (+Server 2022/2025) are affect, windows 10 is not.

[BugCheck7b]

YellowKey 我用 VMware 尝试复现了一次，没成功。
而且我看到按 SHIFT 键重启后，系统重新从 UEFI 固件走了，然后引导 WinRE （而不是正常的引导途径）自然就不会让 TPM 释放密钥。

[BugCheck7b]

今天又试了一下，还是没复现成功。

不过我今天开启了一下 TPM+PIN （而且还是可以使用字母符号复杂密码的强化 PIN ，需要额外多改一项组策略），感觉有一点可能未必如我之前所想。
我看到按 SHIFT 重启进 WinRE 时一样在 bootmgr 环境里就提示输入 PIN ，那么在进 WinRE 时至少 bootmgr 也和正常启动一样，有向 TPM 请求释放密钥，但 TPM 有没有给释放就不知道了。可能需要开启 bootdebug 串口调试才能知道（哦这个估计还跟 TPM PCR 策略犯冲，得调？）
我这边的 WinRE 默认安装在未加密的隐藏恢复分区里，启动它按理说也不需要 bitlocker 解锁……所以我有点不明白。按理说不加密的 BCD 和恢复分区已经足够它启动了。
总之进了 WinRE 也一切如常，还是微软的向导界面，还是 C 盘未解锁。

从 GitHub 那边看到微软 MSRC 已经把这个列为一个漏洞在追踪了。
之前试的时候，还看到评论区提到（尤其是利用成功时） FsTx 应该会被吃掉消失，但我这边也从来没观察到这个现象。

[BugCheck7b]

另外好多年前我就观察到一件事。如果 bitlocker 只用密码加密，不用 TPM ，然后 bcdedit 设置 bootmenupolicy 为 legacy 让 F8 复活，就可以看到按 F8 时 bootmgr 也和正常启动时一样会提示你输入密码解锁 C 盘。
这个也有点让我不明白说实话……只是显示个 F8 菜单而已，菜单里有什么，必须解锁 C 盘才行？

上面这个现象我姑且理解为，可能是 F8 菜单允许临时修改启动参数，于是就害怕出现绕过，于是就要求你先解锁 bitlocker ，你解得了 bitlocker 自然就证明你有权限干任何事情。

但今天还进一步观察到更奇怪的现象。如果用了 TPM ，按 F8 好像就会直接让 bootmgr 放弃 TPM 解锁，不会提示输入 TPM PIN ，而是直接提示你输入恢复密钥。
而且一旦按过一次 F8 ，除非重启，否则本次启动就只能用恢复密钥解锁了，无法使用 TPM+PIN 解锁启动。必须重启才能再次使用 TPM+PIN 。

[BugCheck7b]

（绕过，就是类似 kon-boot 那种 Windows 账户密码绕过吧。Windows 账户密码跟 TPM bitlocker 算是一个体系的，正常启动就必须输入 Windows 账户密码，U 盘 winpe 等其他启动路径 TPM 就不释放密钥不给解 bitlocker ）

[BugCheck7b]

（也许还能想象其他玩法比如加载驱动 bootkit ，串口调试注入代码等等）

[BugCheck7b]

懒了不想研究这个了，反正我不用 TPM ，随他去