У Windows виявили zero-day SignDrop для отримання прав SYSTEM

Дослідник кібербезпеки Абдельхамід Насері, відомий як Nightmare Eclipse, оприлюднив експлойт раніше невідомої вразливості Windows під назвою SignDrop. Вона може дати зловмисникам привілеї SYSTEM — найвищий рівень доступу в операційній системі. Про це повідомляє BleepingComputer.

Як працює SignDrop

За даними Насері, SignDrop пов’язана з механізмом захисту, який Microsoft запровадила у жовтні 2025 року проти атак на вразливості драйвера Common Log File System, або CLFS. Дослідник стверджує, що після цього кількість атак із використанням уразливостей CLFS різко зменшилася, однак сама реалізація захисту створила нову можливість для підвищення привілеїв.

Проблема, за його словами, виникає під час створення CLFS файлу автентифікації з розширенням .cnpf для нового журналу. На початковому етапі CLFS коректно перевіряє права доступу, але логіку можна використати, якщо файл журналу згодом відкриє інший процес із вищими привілеями. Насері зазначив, що до відкриття таких файлів можна спонукати привілейовані процеси, зокрема Windows Defender. Тоді файл автентифікації створюється з правами SYSTEM, але з дозволами початкового файлу.

Уразливі версії та відсутність виправлення

Дослідник заявив, що метод також може обійти механізми самозахисту антивірусних продуктів і систем виявлення та реагування на загрози, адже запит на створення файлу виглядатиме як дія легітимного процесу самого захисного програмного забезпечення.

SignDrop працює не на всіх пристроях Windows. Насері протестував експлойт на Windows 11 26H2, експериментальній Windows 11 26H2 та експериментальній Windows Server 2025 і оцінив частку потенційно вразливих інсталяцій приблизно у 80%. Він радить перевіряти стан через демонстраційний код або значення параметра Mode у гілці реєстру CLFS: значення 0 чи 1, за його твердженням, вказують на вразливість.

Наразі, за словами Насері, рішенням є лише очікування патчу від Microsoft. Вимкнення механізму захисту CLFS, як він зазначив, знову відкриє системи для атак, що використовують уразливості пошкодження пам’яті.