GreatXML: Khai thác vượt BitLocker Windows thông qua tệp XML trong phân vùng Recovery
"Security researcher Chaotic Eclipse disclosed GreatXML, a Windows BitLocker bypass that abuses XML files placed in the recovery partition and WinRE behavior to spawn a shell with unrestricted access to the BitLocker volume. The report does not cite a CVE for GreatXML; it notes this is the second BitLocker bypass from the researcher after YellowKey (CVE-2026-45585), which Microsoft patched in a recent Patch Tuesday release."
Nguy cơ liên quan đến bypass BitLocker có thể dẫn tới truy cập trái phép vào dữ liệu được mã hóa; điểm đáng chú ý là shell có thể đạt quyền truy cập rộng tới BitLocker volume. Tuy nhiên, mức độ khả thi thực tế có thể phụ thuộc vào điều kiện kích hoạt như Defender Offline Scan.
Nếu kịch bản bị khai thác thành công, tác động có thể là lộ dữ liệu từ ổ mã hóa và gián đoạn tuân thủ bảo mật. Tổ chức cần ưu tiên vá bản cập nhật và kiểm soát cấu hình recovery/WinRE để giảm rủi ro.
Một nhà nghiên cứu bảo mật (Chaotic Eclipse) công bố GreatXML, một kỹ thuật được mô tả nhằm bypass Windows BitLocker bằng cách lợi dụng hành vi của Windows Recovery Environment (WinRE) và các tệp cấu hình dạng XML đặt trong phân vùng recovery. Theo bài viết, không có CVE được nêu cho GreatXML.
Cách thức được mô tả gồm: sao chép unattend.xml và một thư mục recovery chứa Recovery/WindowsRE/ReAgent.xml vào gốc phân vùng recovery; sau đó khởi động vào WinRE bằng cách giữ Shift khi chọn Restart từ menu nguồn. Nếu thực hiện đúng, kẻ tấn công có thể thu được một shell với quyền truy cập không bị hạn chế tới BitLocker volume.
Một số ý kiến phản biện cho rằng điều kiện kích hoạt có thể phụ thuộc vào việc Microsoft Defender Offline Scan đã từng được chạy trước đó; đồng thời việc yêu cầu đăng nhập và quyền quản trị có thể khiến kịch bản thực tế kém phù hợp. Dù vậy, GreatXML được công bố gần thời điểm Microsoft đã vá YellowKey (CVE-2026-45585) trong Patch Tuesday.
Khuyến nghị: rà soát cấu hình WinRE/recovery, hạn chế quyền quản trị, kiểm tra việc sử dụng Defender Offline Scan, và áp dụng bản vá bảo mật mới nhất theo lịch cập nhật của nhà cung cấp.