GitHub kullanıcısı Nightmare-Eclipse, Windows 11 sistemlerini etkileyen YellowKey ve GreenPlasma adında iki yeni güvenlik açığını kamuoyuna duyurdu. Windows 11 güvenlik açığı, Microsoft’un Patch Tuesday güncellemelerini yayınladığı 12 Mayıs tarihinde paylaşılırken şirket için büyük bir baş ağrısına yol açtı. İlk açık YellowKey BitLocker atlama özelliği gösterirken yalnızca Windows 11 üzerindeki BitLocker şifrelemesini etkisiz hale getiriyor.

YellowKey BitLocker Şifrelemesini Etkisiz Hale Getiriyor

Nightmare-Eclipse’in açıklamalarına göre saldırgan, FsTx klasörünü bir USB belleğe kopyalıyor, hedef bilgisayara takıyor ve ardından belirli tuşlara basılı tutarak Windows Kurtarma Ortamı Ajanı’na yeniden başlatıyor. İşlem başarıyla tamamlandığında, BitLocker ile korunan birime sınırsız erişimi olan bir kabuk ekranı açılıyor. Araştırmacı, WinRE arka kapı iddiasında bulunarak sorumlu bileşenin internetin hiçbir yerinde bulunmadığını, sadece WinRE imajının içinde yer aldığını ifade ediyor.

Aynı bileşenin normal bir Windows kurulumunda da aynı isimle bulunduğunu ancak BitLocker atlama sorununu tetikleyen işlevselliklere sahip olmadığını söyleyen Nightmare-Eclipse, bunun kasıtlı yapılmış olabileceği ihtimalini gündeme getiriyor. YellowKey zafiyeti yalnızca Windows 11, Windows Server 2022 ve Windows Server 2025’i etkilerken Windows 10 bu açıktan etkilenmiyor. Patch Tuesday sonrası açık, özellikle kurumsal kullanıcılar için büyük risk oluşturuyor.

GreenPlasma Sistemlerde Ayrıcalık Yükseltmeye İzin Veriyor

Nightmare-Eclipse’in yayınladığı ikinci güvenlik açığı GreenPlasma ayrıcalık yükseltme imkanı tanıyarak sistemlere zarar verilmesine veya veri çalınmasına olanak sağlıyor. Yayınlanan kavram kanıtı kodu, saldırgana tam SYSTEM kabuk erişimi vermese de yetenekli bir kişinin bunu tam bir ayrıcalık yükseltme aracına dönüştürebileceği belirtiliyor. Collaborative Translation Framework bileşenini kullanan zafiyet, SYSTEM tarafından yazılabilen herhangi bir dizin nesnesinde rastgele bir bellek bölümü nesnesi oluşturuyor.

İki güvenlik açığının özellikle GreenPlasma’nın kötü niyetli aktörler tarafından kullanılması beklenirken Microsoft’un nasıl bir tepki vereceği henüz bilinmiyor. Şirketin bir sonraki Patch Tuesday’yi beklemeden hızlı bir şekilde yama yayınlaması ve kullanıcıları koruma altına alması gerektiği vurgulanıyor.