### Failles Windows non corrigées exposées **Chaotic Eclipse**, également connu sous le nom de Nightmare Eclipse, a divulgué des détails et des PoC pour deux nouvelles vulnérabilités zero-day affectant **Windows** : YellowKey et GreenPlasma. Ceci fait suite aux divulgations précédentes du chercheur concernant BlueHammer (**CVE-2026-33825**) et RedSun, toutes deux des failles d'escalade de privilèges locaux (LPE) qui auraient été exploitées dans la nature peu de temps après leur publication. Le chercheur a déclaré que la décision de publier les vulnérabilités YellowKey et GreenPlasma découle de sa frustration face à la réponse de **Microsoft** aux bugs signalés. Il a également indiqué son intention de continuer à publier des exploits pour des vulnérabilités **Windows** non documentées, taquinant une "grande surprise" pour le prochain Patch Tuesday. ### Détails du contournement de BitLocker : YellowKey YellowKey, un contournement de **BitLocker**, affecte **Windows 11** et **Windows Server 2022/2025**. L'exploit implique de placer des fichiers 'FsTx' spécialement conçus sur une clé USB ou une partition EFI, de redémarrer dans **WinRE** (Windows Recovery Environment) et de déclencher un shell en maintenant la touche CTRL enfoncée. Selon Chaotic Eclipse, cela donne un accès illimité au volume de stockage protégé par **BitLocker**. Le chercheur indépendant en sécurité **Kevin Beaumont** a validé l'exploit YellowKey, suggérant l'utilisation d'un code PIN **BitLocker** et d'un mot de passe BIOS comme mesures d'atténuation. Chaotic Eclipse a également déclaré que la vulnérabilité principale est exploitable même dans les environnements TPM (Trusted Platform Module) et PIN, bien qu'un PoC pour ce scénario n'ait pas été publié. **Will Dormann**, analyste principal des vulnérabilités chez Tharros Labs, a confirmé la fonctionnalité de l'exploit en utilisant des fichiers FsTx sur une clé USB. Il a expliqué que YellowKey exploite les transactions NTFS en combinaison avec l'image de **Windows Recovery**, menant finalement à une invite de commande avec le disque déverrouillé. Dormann a clarifié le processus d'exploit, expliquant que pour démarrer Windows Recovery, "Windows recherche les répertoires \System Volume Information\FsTx sur les lecteurs connectés, et rejouera tous les journaux NTFS." "Le résultat est que X:\Windows\System32\winpeshl.ini est supprimé, et lorsque l'environnement de récupération Windows est lancé, au lieu de lancer l'environnement de récupération Windows réel, il affiche une invite CMD.EXE. Avec le disque toujours déverrouillé" - Will Dormann Par défaut, les configurations **BitLocker** utilisant uniquement le TPM déverrouillent automatiquement les lecteurs chiffrés. YellowKey exploite cette fonctionnalité de déverrouillage automatique, permettant l'accès aux disques protégés par **BitLocker** avec TPM uniquement, sans nécessiter d'informations d'identification. ### Exploit d'escalade de privilèges : GreenPlasma GreenPlasma est une vulnérabilité d'escalade de privilèges qui peut être exploitée pour obtenir un shell avec des permissions SYSTEM. Chaotic Eclipse la décrit comme une "vulnérabilité d'escalade de privilèges de création de section arbitraire CTFMON de Windows". Un utilisateur non privilégié peut créer des objets de section mémoire arbitraires au sein d'objets de répertoire inscriptibles par SYSTEM, permettant potentiellement la manipulation de services ou de pilotes privilégiés qui font confiance à ces emplacements.  *Démonstration de GreenPlasma. Source : GitHub* Le PoC divulgué est actuellement incomplet, manquant le composant nécessaire pour un shell SYSTEM complet. Cependant, Chaotic Eclipse suggère que des personnes compétentes peuvent l'exploiter pour une escalade complète des privilèges, manipulant des données et divers services, y compris des pilotes en mode noyau. Le chercheur a également critiqué **Microsoft** pour avoir corrigé silencieusement la vulnérabilité RedSun sans lui attribuer d'identifiant, comme ce fut le cas avec BlueHammer. **Microsoft** a déclaré qu'il s'engageait à enquêter sur les problèmes de sécurité signalés et à mettre à jour les appareils affectés pour protéger les clients. Ils ont également souligné leur soutien à la divulgation coordonnée des vulnérabilités.