セキュリティ

BitLockerをUSBで解錠、YellowKey公開

情報の灯台

2026年5月14日 06:3200

USBメモリにフォルダを1つ置き、再起動時にCTRLキーを押し続ける。それだけでBitLockerで暗号化されたドライブが丸ごと開いてしまう。MicrosoftはまだCVEも発行していない。

鍵を持たずに鍵を開ける

Windows 11のフルディスク暗号化BitLockerが、USBメモリ1本で迂回される。研究者ハンドルネーム「Chaotic Eclipse」(別名Nightmare-Eclipse)が5月12日、概念実証(PoC)コード「YellowKey」を公開した。対象PCを物理的に手にしてさえいれば、TPMの鍵を一切問わずに暗号化ボリュームへ完全アクセスできる。

手順は驚くほど単純だ。NTFSでフォーマットしたUSBメモリのSystem Volume Information\FsTx配下に攻撃コードを置き、ターゲットのWindowsマシンに挿す。Shift+クリックで再起動を選んだら、画面が切り替わる瞬間にShiftを離してCTRLキーを押しっぱなしにする。次に立ち上がるのはWindows回復環境(WinRE)の通常メニュー、ではなく、暗号化解除済みのドライブが見えている管理者シェルだ。

Tom's Hardwareは自社環境で再現に成功したと書いている。実行後にファイルがUSBから消える挙動も確認した、と。研究者本人もこの点を「ほとんどバックドアのように感じる」と書いている。

私の最も狂気じみた発見の一つだ。ほとんどバックドアのように感じる、もっとも、私が頭がおかしいだけかもしれないが。

検証は独立した研究者から来た

PoCの動作はChaotic Eclipseの主張に留まらない。元CERT/CCの脆弱性アナリストで、現在はTharros Labsに所属するウィル・ドーマン(Will Dormann)が技術的な仕組みを解説した。

ドーマンによれば、Windowsは接続されたドライブの\System Volume Information\FsTxディレクトリを探し、そこに置かれたNTFSログを再生する設計になっている。再生処理の過程でX:\Windows\System32\winpeshl.iniが削除され、その結果Windowsは本来の回復環境を起動する代わりにコマンドプロンプトを呼び出してしまう。ディスクは復号されたまま。それがYellowKeyの正体だ。

独立研究者のケビン・ボーモント(Kevin Beaumont)もPoCの有効性を確認し、「BitLockerには機能的なバックドアがある」と断じた。緩和策としてBitLocker PINとBIOSパスワードの併用を推奨している。

Windowsは、接続されたドライブの\System Volume Information\FsTxディレクトリを探し、そこにあるNTFSログを再生する。その結果、X:\Windows\System32\winpeshl.iniが削除され、Windowsは本来の回復環境ではなくCMD.EXEを起動する。ディスクは復号されたままだ。 ──ウィル・ドーマン

影響範囲と「Windows 10だけが無事」という奇妙さ

PoCが動くのはWindows 11、Windows Server 2022、Windows Server 2025の3つだ。Windows 10は影響を受けない。脆弱なコンポーネントはWindows回復環境(WinRE)のイメージ内に存在し、しかも通常のWindowsインストール下にも同名のコンポーネントが存在するが、そちらにはBitLockerバイパスを引き起こす機能が含まれていない、と研究者は書いている。

つまり、同じ名前の部品が回復環境にだけ仕込まれており、そこにだけ問題のロジックが乗っている。研究者本人は「該当コンポーネントは意図的に回復環境へ植え付けられたのではないか」との疑念をブログで表明している。

ドーマンの追加解説では、現行のYellowKey PoCはBitLockerの自動アンロック機能を悪用しているため、TPMとPINを併用した環境では動作しない。他マシンに移したドライブにも効かない。BitLocker To Goで保護された外付けドライブもこの範疇には入らない。要するにTPM-onlyモード、つまりWindows 11の消費者向け既定設定がもっとも危ない。

ただしChaotic Eclipse本人は別の主張をしている。

いや、TPM+PINでは防げない。問題は変わらず悪用可能だ。同じ疑問を自分にも問うた──TPM+PIN環境でも動くか、と。動く。ただPoCは公開しない。世に出ているもので十分にひどいと考えているからだ。

YellowKey影響範囲 ── OS × BitLocker保護モード

対象OS	TPM-only	TPM+PIN (公開PoC)	TPM+PIN (未公開変種)
Windows 10	対象外	対象外	対象外
Windows 11	○解錠可	×無効	△研究者主張のみ
Server 2022	○解錠可	×無効	△研究者主張のみ
Server 2025	○解錠可	×無効	△研究者主張のみ

※ ○=PoCで解錠可能(独立検証済み) / ×=現行PoCでは解錠できない / △=研究者がTPM+PIN環境でも解錠可能と主張するがPoC未公開。盗難ドライブの他マシン移設には現行PoCは効かない。

公開されていない以上、外部から独立検証は不可能だ。ドーマンの確認は現行PoCの範囲、研究者の主張はそれを超える範囲。両者は矛盾せず、未公開の派生変種の存否だけが今のところ宙に浮いている。

「責任ある開示」が壊れた現場

なぜ研究者は事前通告なしにPoCを投げ落とすのか。Chaotic Eclipseが過去半年で公開した4本の脆弱性──BlueHammer、RedSun、そして今回のYellowKeyとGreenPlasma──は、いずれも事前にMicrosoftへの報告プロセスが破綻したことが引き金になっている。

BlueHammerはCVE-2026-33825として4月のPatch Tuesdayで修正された。問題はその次だ。研究者によれば、Microsoftは公開前に報告していた本人へのクレジット付与を行わず、別の研究者2名にクレジットを渡した。RedSunに至ってはCVEすら発行されず、サイレントパッチで処理されたという。研究者本人が5月13日付の続報で書いている。

マイクロソフトがRedSunの脆弱性をサイレントパッチしたことに今気づいた。CVEもなし、何もなし、ただの黙ったパッチだ。彼らが自分たちの過ちを認めないのは驚かないが、現に攻撃で使われていた脆弱性に対してアドバイザリゼロというのは異常だ。

Chaotic Eclipseが公開した5本のPoC

PoC名	公開日	影響対象	CVE	現状
BlueHammer	4月3日	Defender権限昇格	CVE-2026-33825	4月Patch Tuesdayで修正
RedSun	4月15日	Defender権限昇格	未発行	サイレントパッチ済と主張
UnDefend	4月15日	Defender機能停止	未発行	未修正
YellowKey	5月12日	BitLocker迂回	未発行	未修正
GreenPlasma	5月12日	CTFMon権限昇格	未発行	未修正(完全PoC未公開)

※ BlueHammer・RedSunは公開後すぐ実環境で悪用が確認された。RedSunのサイレントパッチはChaotic Eclipse本人の主張であり、Microsoft公式の確認はない。網掛けは5月12日に追加投下された2本。

ForescoutのVP兼セキュリティ・インテリジェンス担当リック・ファーガソン(Rik Ferguson)はThe Registerに対し、「研究者の主張が事実なら、盗まれたノートPCはもはやハードウェアの問題ではなく、情報漏洩通知の問題になる」と語った。物理盗難からデータを守る最後の壁が、USBメモリ1本で崩れる構図だ。

Microsoftは現時点でYellowKeyとGreenPlasmaに対するCVEを発行していない。BleepingComputerの問い合わせに対しては、報告された問題を調査するという定型的な声明と、協調的脆弱性開示への支持表明を返しただけだ。Chaotic Eclipseが「Patch Tuesdayへの大きな置き土産」「次の手も用意してある」と公言していることへの直接的な応答はない。

GreenPlasmaは添え物ではない

もう1本のPoC、GreenPlasmaは権限昇格の脆弱性だ。CTFMonプロセスを操作して任意のメモリセクションオブジェクトをSYSTEMユーザーが書き込み可能なディレクトリオブジェクト内に配置することで、通常のアクセス制御を迂回する。

YellowKeyが物理的アクセス前提なのに対し、こちらは標準ユーザー権限から実行できる。サーバ環境では特に深刻だ。共有環境で任意の一般アカウントがSYSTEM権限まで駆け上がれば、他人のデータも管理者の鍵束も同じ箱に入っているのと変わらなくなる。

ただし完全なPoCコードは公開されておらず、Chaotic Eclipseは「最後の権限昇格コードは伏せた」と書いている。仕掛けの解説だけが世に出ている格好だ。

当面の自衛策

完全なパッチが出るまでの間、現実的にできることは限られている。

BitLockerをTPM-onlyモードで使っている場合、可能ならPINとの併用に移行する。ノートPCの場合はBIOS/UEFIのセットアップ画面にもパスワードを設定し、外部メディアからの起動順位を制限する。回復環境への到達自体を物理的に遅らせる工夫が、現時点での最善に近い。

ただしChaotic EclipseがTPM+PIN環境でも別変種が動くと主張している以上、これは「絶対的な防御」ではなく「攻撃時間を引き伸ばす」程度の措置だと考えた方がいい。組織であれば、紛失や盗難時の対応手順を、暗号化が機能している前提から、機能していないかもしれない前提へ書き直す時期かもしれない。

WindowsのデバイスIDやキャッシュされた認証情報、VPNセッション、クラウドのトークン──ノートPCを失うときに同時に失うものが、想定していたよりずっと広い。

BitLockerは「鍵を持つ者だけが入れる」という約束で売られてきた。その約束が、回復環境というほとんど誰も気にしない場所で、たった1つのキー操作で破られた。残ったのはノートPCを物理的に守る作法だけで、それは20年前と変わらない。

参照元

他参照