YellowKey WinRE 수정

제공된 절차에 설명된 CVE-2026-45585 YellowKey BitLocker/WinRE 우회 완화를 위한 Intune 수정 패키지입니다.

이 패키지는 오프라인 WinRE 이미지의 BootExecute 값에서 autofstx.exe를 제거하고 WinRE 등록을 새로 고쳐 BitLocker 신뢰가 다시 설정되도록 합니다.

내용

YellowKey-WinRE-Remediation/
  scripts/
    Detect-YellowKeyWinRE.ps1
    Remediate-YellowKeyWinRE.ps1
  .editorconfig
  .gitattributes
  .gitignore
  README.md

Intune 설정

수정 패키지에는 다음 설정을 사용하세요.

동작

감지:

• 상승된 로컬 관리자 또는 SYSTEM 컨텍스트가 필요합니다.
• 64비트 PowerShell이 필요합니다.
• reagentc.exe /mountre를 사용하여 WinRE를 마운트합니다.
• 오프라인 WinRE SYSTEM 하이브를 임시 HKLM 이름으로 로드합니다.
• 모든 오프라인 ControlSet###\Control\Session Manager\BootExecute 값에서 autofstx.exe를 확인합니다.
• 하이브를 언로드하고 WinRE 마운트를 폐기합니다.
• autofstx.exe가 발견되거나 감지를 안전하게 완료할 수 없으면 1로 종료합니다.
• 취약한 항목이 없으면 0으로 종료합니다.

수정:

• 감지와 동일한 환경 보호 조치를 수행합니다.
• WinRE가 비활성화되어 있고 활성화할 수 있으면 먼저 WinRE를 활성화합니다.
• reagentc.exe /mountre를 사용하여 WinRE를 마운트합니다.
• 오프라인 WinRE SYSTEM 하이브를 로드합니다.
• 모든 오프라인 ControlSet에서 autofstx.exe를 포함하는 BootExecute 항목을 제거합니다.
• BootExecute를 쓸 때 명시적으로 RegistryValueKind.MultiString을 사용합니다.
• 빈 BootExecute 쓰기를 거부합니다. 필터링 결과 비어 있으면 Windows 기본값인 autocheck autochk *를 씁니다.
• 커밋하기 전에 하이브를 언로드합니다.
• reagentc.exe /unmountre /commit으로 WinRE 이미지를 커밋합니다.
• reagentc.exe /disable 및 reagentc.exe /enable을 실행하여 WinRE 등록과 BitLocker 신뢰를 새로 고칩니다.
• 실패 시 로드된 하이브와 마운트된 이미지를 정리합니다.

보호 장치

스크립트는 의도적으로 보수적으로 설계되었습니다.

• BitLocker 보호기가 직접 일시 중단, 제거 또는 변경되지 않습니다.
• 수정은 라이브 OS BootExecute 값이 아닌 오프라인 WinRE 이미지만 편집합니다.
• 임시 하이브 이름과 마운트 경로에는 충돌을 방지하기 위한 임의 접미사가 포함됩니다.
• 실패 시 정리에서는 임시 하이브를 언로드하고 WinRE 마운트를 폐기합니다.
• 로그는 C:\ProgramData\IntuneRemediations\YellowKey에 기록됩니다.

로그

감지 로그:

C:\ProgramData\IntuneRemediations\YellowKey\Detect.log

수정 로그:

C:\ProgramData\IntuneRemediations\YellowKey\Remediate.log

로컬 검증

수정을 실행하지 않고 구문 유효성 검사 실행:

$paths = @(
    '.\scripts\Detect-YellowKeyWinRE.ps1',
    '.\scripts\Remediate-YellowKeyWinRE.ps1'
)

foreach ($path in $paths) {
    $tokens = $null
    $errors = $null
    [System.Management.Automation.Language.Parser]::ParseFile($path, [ref] $tokens, [ref] $errors) | Out-Null

    if ($errors.Count -gt 0) {
        $errors | Format-Table
        throw "Parse failed: $path"
    }
}

설치된 경우 Script Analyzer 실행:

Invoke-ScriptAnalyzer -Path .\scripts -Recurse

운영 참고 사항

• 광범위한 배포 전에 소규모 파일럿 링에서 테스트하세요.
• reagentc.exe /info로 대표 장치에서 WinRE가 정상인지 확인하세요.
• WinRE가 없거나 비정상인 장치는 별도로 수정해야 합니다.
• 조직에서 Intune 스크립트에 서명하는 경우 두 .ps1 파일에 서명하고 서명 확인을 사용하도록 설정하세요.
• 수정은 필요할 때만 할당하고, 그 후에는 규정 준수 추적을 위해 감지/보고에 의존하세요.

종료 코드