Уязвимость операционных систем Windows, связанная с недостаточной защитой служебных данных, позволяющая нарушителю обойти функцию шифрования данных BitLocker

Описание

Уязвимость операционных систем Windows связана с возможностью копированя файла unattend.xml и каталога Recovery с файлом ReAgent.xml в корень раздела восстановления в результате недостаточной защиты служебных данных. Эксплуатация уязвимости может позволить нарушителю обойти функцию шифрования данных BitLocker

Способ устранения

Использование рекомендаций: Т.к. данная уязвимость опирается на запуск среды восстановления WinRE и подмену файлов в корень раздела восстановления, рекомендуется использовать компенсирующие меры: - использование BitLocker с TPM + PIN-кодом: если BitLocker настроен только на автоматическую расшифровку через TPM, злоумышленнику проще добраться до WinRE. Настройка обязательного ввода PIN-кода (или предзагрузочного ключа) до старта ОС существенно усложняет эксплуатацию; - отключение среды восстановления (WinRE): выполните команду от имени Администратора: reagentc /disable ; - мониторинг и защита раздела восстановления: ограничьте права на запись в корень разделов восстановления и системного диска, чтобы предотвратить добавление вредоносных файлов unattend.xml и создание каталогов Recovery сторонними процессами. Т.к триггером уязвимости выступает запуск автономного сканирования (Microsoft Defender Offline Scan), этот компонент требует особого контроля: - запрет несанкционированных перезагрузок в режим сканирования: ограничьте права обычных пользователей на инициацию Microsoft Defender Offline Scan. Уязвимость без авторизации работает преимущественно на тех машинах, где это сканирование запускалось хотя бы раз в прошлом (остаются временные артефакты); - очистка остаточных файлов: проверьте систему на наличие старых конфигурационных XML-файлов в директориях Windows Defender и системных папках восстановления, которые могли остаться от прошлых автономных проверок; - использование систем обнаружения и предотвращения вторжений для обнаружения (выявления, регистрации) и реагирования на попытки эксплуатации уязвимости; - минимизация пользовательских привилегий; - отключение/удаление неиспользуемых учётных записей пользователей;

Сведения записи

Уязвимое программное обеспечение

Источник: Банк данных угроз безопасности информации ФСТЭК России. Данные выгружены 17.08.2026, записей в справочнике — 92920. Справочник не является официальным ресурсом ФСТЭК России: сверяйте сведения с первоисточником.