Rendszerszintű jogosultságot adhat a SignDrop Windows-sebezhetőség
A Nightmare Eclipse álnéven publikáló kutató újabb Windows-sebezhetőséget hozott nyilvánosságra. A SignDrop nevű nulladik napi hiba bizonyos Windows-verziókon lehetővé teszi, hogy egy helyi, átlagos jogosultságú felhasználó teljes System-hozzáférést szerezzen. A probléma a Common Log File Systemben (CLFS) található, amely felhasználói és kernelmódban futó programok általános naplózási szolgáltatása.
A támadás során a felhasználó egy speciálisan létrehozott CLFS-tároló megnyitására veszi rá a Windows Defendert. A Defender egyik legitim, vírusirtó-aláírások feldolgozására használt funkcióját, a ServerMpUpdateEngineSignature eljárást használja ki, majd az Object Manager szimbolikus linkjeinek manipulálásával eléri, hogy a védelmi folyamat a saját, System jogosultságú környezetében nyisson meg egy fájlt. Ha hiányzik a hozzá tartozó hitelesítési fájl, azt a CLFS a Defender jogosultságaival hozza létre, miközben az eredeti fájl engedélyeit örökíti tovább. Ez hozzáférést adhat a támadónak egy System-jogosultságú fájlhoz, és a védelmi mechanizmusok megkerülésére, akár vírusirtó- vagy EDR-védelem kikapcsolására is felhasználható.
A hiba a Microsoft 2025 októberében bevezetett, CLFS-t érintő biztonsági intézkedésével kapcsolatos logikából ered. A kutató szerint a javítás egy másik támadási lehetőséget akart lezárni, de bizonyos feltételek mellett önmaga ellen fordítható. A SignDrop a Windows 11 26H2, a Windows 11 26H2 Experimental és a Windows Server 2025 Experimental kiadásain működhet. Will Dormann kutató reprodukálta a támadást, de csak egyes Windows 11-rendszereken. A sebezhetőséghez a CLFS Authentication Mode értékének 0-nak vagy 1-nek kell lennie, és úgy tűnik, a 26H2-rendszernek több mint 90 napja kell léteznie. A Microsoft nem reagált a megkeresésre.
Folytasd az appban — szavazz és szólj hozzá ➔