YellowKey WinRE Remediation

Package de correction Intune pour l'atténuation du contournement YellowKey BitLocker/WinRE (CVE-2026-45585) décrite dans la procédure fournie.

Ce package supprime autofstx.exe de la valeur BootExecute de l'image WinRE hors ligne et actualise l'enregistrement de WinRE afin de rétablir la confiance BitLocker.

Contenu

YellowKey-WinRE-Remediation/
  scripts/
    Detect-YellowKeyWinRE.ps1
    Remediate-YellowKeyWinRE.ps1
  .editorconfig
  .gitattributes
  .gitignore
  README.md

Paramètres Intune

Utilisez ces paramètres pour le package de correction :

Comportement

Détection :

• Nécessite un contexte administrateur local élevé ou SYSTEM.
• Nécessite PowerShell 64 bits.
• Monte WinRE à l'aide de reagentc.exe /mountre.
• Charge la ruche SYSTEM de WinRE hors ligne sous un nom HKLM temporaire.
• Vérifie chaque valeur BootExecute de ControlSet###\Control\Session Manager hors ligne pour la présence de autofstx.exe.
• Décharge la ruche et supprime le montage WinRE.
• Quitte avec le code 1 si autofstx.exe est trouvé ou si la détection ne peut pas se terminer en toute sécurité.
• Quitte avec le code 0 si aucune entrée vulnérable n'est trouvée.

Correction :

• Effectue les mêmes garde-fous d'environnement que la détection.
• Active d'abord WinRE s'il est désactivé et peut être activé.
• Monte WinRE à l'aide de reagentc.exe /mountre.
• Charge la ruche SYSTEM de WinRE hors ligne.
• Supprime toute entrée BootExecute contenant autofstx.exe de chaque ControlSet hors ligne.
• Utilise explicitement RegistryValueKind.MultiString lors de l'écriture de BootExecute.
• Refuse d'écrire un BootExecute vide ; si le filtrage le viderait, écrit la valeur par défaut de Windows autocheck autochk *.
• Décharge la ruche avant de valider.
• Valide l'image WinRE avec reagentc.exe /unmountre /commit.
• Exécute reagentc.exe /disable et reagentc.exe /enable pour actualiser l'enregistrement de WinRE et la confiance BitLocker.

Garde-fous

Les scripts sont intentionnellement prudents :

• Aucun protecteur BitLocker n'est suspendu, supprimé ou modifié directement.
• La correction ne modifie que l'image WinRE hors ligne, pas la valeur BootExecute du système d'exploitation actif.
• Les noms de ruches temporaires et les chemins de montage incluent des suffixes aléatoires pour éviter les collisions.
• Le nettoyage en cas d'échec décharge la ruche temporaire et supprime le montage WinRE.
• Les journaux sont écrits dans C:\ProgramData\IntuneRemediations\YellowKey.

Journaux

Journal de détection :

C:\ProgramData\IntuneRemediations\YellowKey\Detect.log

Journal de correction :

C:\ProgramData\IntuneRemediations\YellowKey\Remediate.log

Validation locale

Exécutez une validation syntaxique sans exécuter la correction :

$paths = @(
    '.\scripts\Detect-YellowKeyWinRE.ps1',
    '.\scripts\Remediate-YellowKeyWinRE.ps1'
)

foreach ($path in $paths) {
    $tokens = $null
    $errors = $null
    [System.Management.Automation.Language.Parser]::ParseFile($path, [ref] $tokens, [ref] $errors) | Out-Null

    if ($errors.Count -gt 0) {
        $errors | Format-Table
        throw "Parse failed: $path"
    }
}

Exécutez Script Analyzer s'il est installé :

Invoke-ScriptAnalyzer -Path .\scripts -Recurse

Notes opérationnelles

• Testez sur un petit groupe pilote avant un déploiement large.
• Confirmez que WinRE est sain sur les appareils représentatifs avec reagentc.exe /info.
• Les appareils avec WinRE manquant ou défaillant doivent être corrigés séparément.
• Si votre organisation signe les scripts Intune, signez les deux fichiers .ps1 et activez la vérification de signature.
• Conservez la correction assignée uniquement le temps nécessaire, puis utilisez la détection/le rapport pour le suivi de conformité.

Codes de sortie