GreatXML: Zero-Day-Exploit hebelt BitLocker aus
Sicherheitsforscher haben eine Zero-Day-Sicherheitslücke mit der Bezeichnung GreatXML entdeckt, die es Angreifern ermöglicht, die BitLocker-Vollverschlüsselung von Windows-Systemen zu umgehen. Das Proof-of-Concept zeigt eine praktische Angriffsmethode, die insbesondere lokale Angreifer mit physischem Zugang zu betroffenen Systemen nutzen können.
Wie der Exploit funktioniert
Der Angriff exploitet eine Schwachstelle in Microsofts Defender-Offline-Scan-Funktion. Der Angreifer nutzt den Recovery Mode aus, um eine SYSTEM-Shell zu spawnen – das höchste Privilege-Level auf Windows-Systemen. Dies geschieht während des Reboot-Prozesses, wenn das System sich in einem bestimmten Zustand befindet, in dem die typischen Sicherheitsmechanismen nicht vollständig aktiv sind.
BitLocker, Microsofts Full-Disk-Encryption-Lösung, sollte genau vor solchen Szenarien schützen. Die Tatsache, dass eine Lücke in den Offline-Scan-Mechanismen existiert, deutet darauf hin, dass es Schwachstellen in der Implementierung gibt – möglicherweise in der Validierung von Komponenten während des Recovery-Prozesses.
Betroffene Systeme und Risiken
Besonders kritisch ist dieser Exploit für Organisationen, die BitLocker als primäre Schutzmaßnahme gegen unbefugten Datenzugriff nutzen. Die Zero-Day-Klassifizierung bedeutet, dass zum Zeitpunkt der Veröffentlichung kein offizieller Patch verfügbar war – ein wichtiges Detail für IT-Security-Teams.
Das Risiko ist vor allem bei Systemen mit physischem Zugriff relevant, etwa bei gestohlenen Laptops, Servern in unsicheren Umgebungen oder bei Szenarien, in denen Angreifer kurzzeitigen Zugriff auf das Gerät haben.
Implikationen für die Praxis
Diese Entdeckung unterstreicht, dass End-to-End-Encryption allein keine ausreichende Sicherheitsstrategie darstellt. Zusätzliche Maßnahmen wie:
- UEFI/BIOS-Passwörter zum Schutz vor Reboot-Manipulationen
- Secure Boot korrekt konfigurieren
- TPM 2.0 nutzen und mit Firmware-Updates aktuell halten
- Pre-boot authentication einsetzen
werden noch relevanter. Unternehmen sollten ihre BitLocker-Implementierungen überprüfen und prüfen, ob zusätzliche Sicherheitsebenen notwendig sind.
