Microsoft partage un script pour corriger la faille de contournement de WinRE BitLocker

Microsoft a simplifié la correction d’une faille de sécurité de contournement de BitLocker dans l’environnement de récupération Windows en publiant un script (WinRE).

Le processus de protection des images WinRE contre les tentatives d’exploitation de la faille CVE-2022-41099, qui permet aux attaquants de contourner la fonction BitLocker Device Encryption sur les périphériques de stockage du système, est facilité à l’aide de ce script PowerShell.

Les acteurs de la menace disposant d’un accès physique peuvent accéder à des données chiffrées lors d’assauts simples en exploitant avec succès ce script.

Si l’utilisateur a activé la protection BitLocker TPM+PIN, la vulnérabilité ne peut pas être exploitée, affirme Microsoft.

Dans un billet d’assistance publié jeudi, Microsoft indique que l’exemple de script PowerShell a été créé par l’équipe produit de l’entreprise pour faciliter l’automatisation de la mise à jour des images WinRE sur les appareils Windows 10 et Windows 11.

“Sur les appareils concernés, exécutez le script en utilisant les informations d’identification PowerShell Administrator. En fonction de la version de Windows que vous utilisez, l’un des deux scripts est le plus approprié.”

PatchWinREScript 2004plus.ps1 est la version recommandée du script, qui permet d’installer les mises à jour de sécurité sur les ordinateurs fonctionnant sous Windows 10 2004 et suivants (y compris Windows 11).

Pour Windows 10 1909 et les versions antérieures, l’autre script PowerShell (PatchWinREScript General.ps1) doit être utilisé car il est moins fiable (bien qu’il fonctionne sur tous les systèmes Windows 10 et Windows 11).

Comment utiliser le script de correctif WinRE

Les administrateurs peuvent fournir le chemin et le nom du paquet de mise à jour dynamique de Safe OS qui doit être utilisé pour mettre à jour l’image WinRE en exécutant les scripts de correctifs CVE-2022-41099 à partir d’une ligne de commande Windows PowerShell.

Ces paquets de mise à jour doivent d’abord être obtenus à partir du catalogue de mise à jour de Microsoft et sont propres à la version du système d’exploitation et à l’architecture du processeur.

Les scripts permettent également de choisir l’espace de stockage (scratch space) à utiliser pendant l’opération de correction en donnant une option workDir (si elle n’est pas spécifiée, le script utilisera le dossier temporaire par défaut de Windows).

Une fois lancé, le script effectue les actions suivantes :

1. Monter l’image WinRE existante (WINRE.WIM).
2. Mettre à jour l’image WinRE avec le paquet Safe OS Dynamic Update (Compatibility Update) disponible dans le catalogue Windows Update (il est recommandé d’utiliser la dernière mise à jour disponible pour la version de Windows installée sur l’appareil)
3. Démontez l’image WinRE.
4. Si le protecteur TPM BitLocker est présent, il reconfigure WinRE pour le service BitLocker.

Il n’est pas nécessaire de redémarrer l’ordinateur après l’exécution du script pour terminer la correction de l’image WinRE.

Source