CẢNH BÁO LỖ HỔNG

Microsoft vừa chính thức công bố các biện pháp giảm thiểu cho lỗ hổng bảo mật BitLocker nghiêm trọng mang tên YellowKey (CVE-2026-45585). Lỗ hổng zero-day này cho phép kẻ tấn công có quyền truy cập vật lý vượt qua lớp mã hóa ổ đĩa để đánh cắp dữ liệu nhạy cảm trên các hệ thống Windows hiện đại.

Thông tin chi tiết về CVE-2026-45585

Lỗ hổng YellowKey có điểm CVSS 6.8, được xác định là một lỗi vượt qua tính năng bảo mật (Security Feature Bypass). Microsoft cho biết mã khai thác (PoC) đã được công khai trên GitHub, điều này làm tăng đáng kể nguy cơ bị tấn công thực tế đối với các tổ chức chưa áp dụng biện pháp phòng ngừa.

Hệ điều hành bị ảnh hưởng:

Windows 11 (24H2, 25H2, 26H1)
Windows Server 2025
Windows Server 2025 (Core)

Cách thức tấn công:

Kẻ tấn công cắm USB chứa tệp 'FsTx' đặc biệt, khởi động vào Windows Recovery Environment (WinRE) và nhấn giữ phím CTRL để kích hoạt shell có quyền truy cập không giới hạn vào dữ liệu đã mã hóa.

Cơ chế khai thác YellowKey

YellowKey lợi dụng một giả định tin cậy về hành vi trong giao diện khôi phục (recovery interface). Vì lỗ hổng này không yêu cầu cài đặt phần mềm độc hại, không cần thông tin đăng nhập có sẵn hay kết nối mạng, bất kỳ máy tính nào có cổng USB và có thể khởi động lại đều trở thành mục tiêu tiềm năng.

HÀNH ĐỘNG KHẨN CẤP CHO QUẢN TRỊ VIÊN

Để bảo vệ hệ thống khỏi mã khai thác YellowKey, Microsoft và các chuyên gia bảo mật khuyến nghị:

Gắn (Mount) ảnh WinRE trên từng thiết bị và gỡ bỏ giá trị "autofstx.exe" khỏi Session Manager's BootExecute trong Registry.
Thiết lập lại sự tin tưởng BitLocker cho WinRE sau khi chỉnh sửa.
Thay đổi cơ chế bảo vệ từ "TPM-only" sang "TPM+PIN" để yêu cầu mã PIN khi khởi động.
Cấu hình chính sách "Require additional authentication at startup" thông qua Microsoft Intune hoặc Group Policy.

Nguồn tham khảo: The Hacker News

LIÊN HỆ ĐỘI NGŨ ỨNG CỨU SỰ CỐ TMGS

Microsoft tung biện pháp khắc phục lỗ hổng YellowKey vượt rào BitLocker (CVE-2026-45585)