У Windows 11 виявили експлойт SignDrop для отримання прав SYSTEM

У Windows 11 виявили експлойт нульового дня SignDrop, який потенційно дає користувачеві зі звичайним обліковим записом змогу отримати права SYSTEM — найвищий рівень привілеїв у системі. Про це повідомляє Digital Trends. Microsoft заявила, що розслідує повідомлену вразливість, а також стверджує, що Defender здатен виявляти та блокувати спроби її експлуатації.

Як працює SignDrop

Експлойт націлений на компонент Windows Common Log File System (CLFS), який керує журналами, що використовують застосунки та системні служби. У жовтні 2025 року Microsoft додала для цих журналів криптографічну перевірку автентичності, щоб не допустити обробки змінених файлів.

За описом дослідника безпеки Abdelhamid Naceri, відомого як Nightmare Eclipse та MSNightmare, SignDrop використовує особливості роботи з супутнім файлом формату .cnpf, де зберігається інформація для відновлення журналу CLFS. Користувач може створити спеціально підготовлений файл журналу, а потім спонукати привілейований процес, зокрема антивірусну службу Microsoft Defender, відкрити його. Якщо система створить відсутній файл автентифікації з правами цього процесу, початковий користувач потенційно зможе змінювати файл, створений із доступом SYSTEM.

Перевірка та поточний статус

Дослідник опублікував код-концепт експлойту на GitHub 10 листопада. Незалежні дослідники відтворили його роботу, однак зазначили обмежену сумісність і ненадійність методу. Компанія 78researchlab підтвердила працездатність експлойту, але вказала, що він недостатньо надійний для практичного використання.

Naceri тестував SignDrop на експериментальній збірці Windows 11 26H2 та Windows Server 2025 Experimental і припустив, що вразливими можуть бути близько 80% інсталяцій Windows. Цю оцінку незалежно не підтверджували. Опублікований ланцюжок атаки також потребує увімкненого Microsoft Defender і спричиняє нетипові запити контролю облікових записів UAC, що робить активність помітною.

Окремого CVE та офіційного виправлення для SignDrop наразі немає. Microsoft повідомила, що не спостерігала використання цієї вразливості в реальних атаках. Вимикати автентифікацію CLFS як обхідний спосіб не рекомендують, оскільки це прибере захист від обробки підроблених файлів журналу та може відкрити системи для попередніх вразливостей CLFS.