YellowKey WinRE Remediation

حزمة إصلاح لـ Intune لمعالجة الثغرة CVE-2026-45585 (YellowKey) التي تتجاوز حماية BitLocker/WinRE كما هو موضح في الإجراء المقدم.

تزيل هذه الحزمة autofstx.exe من قيمة BootExecute لصورة WinRE غير المتصلة وتقوم بتحديث تسجيل WinRE بحيث يتم إعادة بناء الثقة مع BitLocker.

المحتويات

YellowKey-WinRE-Remediation/
  scripts/
    Detect-YellowKeyWinRE.ps1
    Remediate-YellowKeyWinRE.ps1
  .editorconfig
  .gitattributes
  .gitignore
  README.md

إعدادات Intune

استخدم هذه الإعدادات لحزمة الإصلاح:

السلوك

الكشف:

• يتطلب سياق مسؤول محلي أو SYSTEM (مرفوع الصلاحيات).
• يتطلب PowerShell 64 بت.
• يقوم بتحميل WinRE باستخدام reagentc.exe /mountre.
• يقوم بتحميل hive SYSTEM لصورة WinRE غير المتصلة تحت اسم مؤقت في HKLM.
• يتحقق من كل قيمة BootExecute في ControlSet###\Control\Session Manager غير المتصلة بحثاً عن autofstx.exe.
• يقوم بإلغاء تحميل hive والتخلص من تحميل WinRE.
• يخرج برمز 1 عند العثور على autofstx.exe أو إذا تعذر إتمام الكشف بأمان.
• يخرج برمز 0 عند عدم العثور على إدخال ضعيف.

الإصلاح:

• ينفذ نفس الضوابط البيئية المستخدمة في الكشف.
• يقوم بتمكين WinRE أولاً إذا كان معطلاً ويمكن تمكينه.
• يقوم بتحميل WinRE باستخدام reagentc.exe /mountre.
• يقوم بتحميل hive SYSTEM لصورة WinRE غير المتصلة.
• يزيل أي إدخال BootExecute يحتوي على autofstx.exe من كل ControlSet غير متصلة.
• يستخدم RegistryValueKind.MultiString صراحةً عند كتابة BootExecute.
• يرفض كتابة BootExecute فارغ؛ إذا كان التصفية ستؤدي إلى إفراغه، يكتب القيمة الافتراضية لنظام Windows autocheck autochk *.
• يقوم بإلغاء تحميل hive قبل الالتزام.
• يلتزم بصورة WinRE باستخدام reagentc.exe /unmountre /commit.
• ينفذ reagentc.exe /disable ثم reagentc.exe /enable لتحديث تسجيل WinRE وإعادة بناء الثقة مع BitLocker.
• ينظف الـ hives المحملة والصور المركبة في حالة الفشل.

القيود الوقائية

السكريبتات مصممة بحذر متعمد:

• لا يتم تعليق أو إزالة أو تغيير أي واقيات BitLocker مباشرة.
• الإصلاح يقوم فقط بتحرير صورة WinRE غير المتصلة، وليس قيمة BootExecute لنظام التشغيل الحي.
• تتضمن أسماء الـ hives المؤقتة ومسارات التحميل لاحقات عشوائية لتجنب التضارب.
• في حالة الفشل، يتم إلغاء تحميل hive المؤقت والتخلص من تحميل WinRE.
• تُكتب السجلات في C:\ProgramData\IntuneRemediations\YellowKey.

السجلات

سجل الكشف:

C:\ProgramData\IntuneRemediations\YellowKey\Detect.log

سجل الإصلاح:

C:\ProgramData\IntuneRemediations\YellowKey\Remediate.log

التحقق المحلي

تشغيل التحقق من الصيغة دون تنفيذ الإصلاح:

$paths = @(
    '.\scripts\Detect-YellowKeyWinRE.ps1',
    '.\scripts\Remediate-YellowKeyWinRE.ps1'
)

foreach ($path in $paths) {
    $tokens = $null
    $errors = $null
    [System.Management.Automation.Language.Parser]::ParseFile($path, [ref] $tokens, [ref] $errors) | Out-Null

    if ($errors.Count -gt 0) {
        $errors | Format-Table
        throw "Parse failed: $path"
    }
}

تشغيل Script Analyzer إذا كان مثبتاً:

Invoke-ScriptAnalyzer -Path .\scripts -Recurse

ملاحظات تشغيلية

• اختبر على حلقة تجريبية صغيرة قبل النشر الواسع.
• تأكد من سلامة WinRE على الأجهزة الممثلة باستخدام reagentc.exe /info.
• يجب معالجة الأجهزة التي تفتقد WinRE أو تكون غير سليمة بشكل منفصل.
• إذا كانت مؤسستك تقوم بتوقيع سكريبتات Intune، فقم بتوقيع كلا ملفي .ps1 وقم بتمكين فرض التوقيع.
• أبقِ الإصلاح مخصصاً فقط طالما كان ضرورياً، ثم اعتمد على الكشف/الإبلاغ لتتبع الامتثال.

رموز الخروج