Колишній співробітник Microsoft оприлюднив код уразливості SignDrop

Колишній співробітник Microsoft Абдельхамід Насері оприлюднив на GitHub код уразливості нульового дня SignDrop у Windows. Експлойт потенційно дає змогу користувачеві зі стандартними правами отримати контроль над системою з правами облікового запису SYSTEM, повідомляє TechSpot.

Як працює SignDrop

Уразливість пов’язана з Common Log File System (CLFS) — компонентом Windows, який застосунки та драйвери використовують для ведення журналів. Поряд із файлами журналів CLFS створює допоміжний файл для відновлення даних. Він успадковує дозволи від самого журналу, тому користувач, який створив журнал, може контролювати цей файл.

SignDrop використовує Microsoft Defender, що працює з найвищими привілеями в системі. За описом TechSpot, експлойт змушує антивірус відкрити заздалегідь підготовлений журнал. У результаті допоміжний файл створюється з правами Defender, але контроль над ним зберігає атакувальник. Це може привести до запуску командного рядка від імені SYSTEM — системного облікового запису Windows, який має більше повноважень, ніж адміністратор.

Обмеження та позиція Microsoft

Аналітик уразливостей Вілл Дорманн повідомив Ars Technica, що зміг відтворити експлойт лише на комп’ютерах із Windows 11 26H2 цього року. Такі пристрої також мали бути налаштовані понад 90 днів, тож на свіжо встановленій системі атака не спрацьовувала. Із наявних у нього машин цим умовам відповідала лише одна.

Microsoft заявила, що розслідує проблему та не бачила доказів її використання в реальних атаках. Компанія також стверджує, що Defender уже виявляє та блокує цю атаку. Насері, який публікує невиправлені помилки Windows під псевдонімом Nightmare Eclipse від квітня, оприлюднив код у вівторок — коли Microsoft випускала листопадові оновлення безпеки. За даними видання, виправлення може не з’явитися до грудневого Patch Tuesday, запланованого на 8 грудня, якщо компанія не випустить його раніше.