У Windows виявили вразливість SignDrop для отримання прав System

Дослідник під псевдонімом Nightmare Eclipse оприлюднив уразливість нульового дня SignDrop у Windows, яка за певних умов дає локальному користувачеві змогу підвищити привілеї до рівня System. Уразливість пов’язана зі службою Common Log File System (CLFS), що використовується програмами в режимі користувача та ядра для ведення журналів.

Як повідомляє Ars Technica, атака використовує взаємодію між CLFS, Microsoft Defender і механізмами дозволів Windows. Зловмисник із правами звичайного користувача може змусити привілейований процес відкрити спеціально сформований контейнер CLFS, а потім використати створення файлу з правами System як частину підвищення привілеїв.

Як працює SignDrop

Експлойт задіює легітимну функцію Microsoft Defender ServerMpUpdateEngineSignature, призначену для обробки оновлень антивірусних сигнатур. Маніпулюючи символічними посиланнями Windows Object Manager, атакувальник може домогтися відкриття журналу CLFS у контексті процесу антивірусного рушія.

Якщо пов’язаний файл автентифікації відсутній, CLFS створює його з привілеями System. Водночас служба призначає новому файлу список контролю доступу вихідного файлу. Це може надати атакувальнику доступ до файлу, створеного з правами System, і використати операцію створення файлу для ескалації привілеїв.

Які системи можуть бути вразливими

Nightmare Eclipse заявив, що експлойт працює на Windows 11 26H2, Windows 11 26H2 Experimental і Windows Server 2025 Experimental. За його словами, уразливими є системи, де режим автентифікації CLFS встановлено в learning mode або enforcement mode.

Дослідник безпеки Вілл Дорманн повідомив, що зміг відтворити експлойт, однак він спрацьовує не на всіх версіях Windows 11. За його оцінкою, для атаки, ймовірно, потрібна Windows 26H2, яка існує понад 90 днів. Дорманн також вказав, що значення параметра HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\CLFS\Authentication\Mode має дорівнювати 0 або 1. Серед багатьох його машин цій умові відповідала лише одна.

Microsoft не відповіла на запит видання щодо коментаря.