研究人员发布用于提升 Windows 权限的 SignDrop——Ars Technica

使用 Nightmare Eclipse 化名的网络安全研究人员披露了 Windows 中的 SignDrop 零日漏洞。Ars Technica 报道称，该漏洞可能允许拥有普通权限的本地用户在某些操作系统版本上获得 System 级权限。

SignDrop 的工作原理

该漏洞与 Common Log File System 有关，这是 Windows 用于记录日志的服务，可供用户模式和内核模式下的应用程序使用。该攻击利用了这项服务、Microsoft Defender 以及 Windows 文件访问控制机制之间的交互。

根据该媒体的描述，攻击者可以迫使特权进程，包括 Windows Defender，打开特制的 CLFS 容器。为此，攻击者利用了 Defender 用于处理防病毒签名更新的合法功能。对 Windows Object Manager 符号链接的操纵，可在具有 System 权限的防病毒引擎上下文中创建关联文件。

如果认证文件不存在，CLFS 会以 Defender 进程的 System 权限创建该文件。同时，该服务会为新文件分配原始文件的访问控制列表，这可能让攻击者访问以 System 权限创建的文件，并利用它提升权限。

更多最新消息请关注 UA.News Telegram 频道 Telegram.

哪些版本可能存在漏洞

Nightmare Eclipse 表示，该漏洞利用程序可在 Windows 11 26H2、实验性 Windows 11 26H2 和实验性 Windows Server 2025 上运行。研究人员威尔·多尔曼告诉 Ars Technica，他复现了该漏洞利用程序，但并非在所有 Windows 11 版本上都成功。

多尔曼称，该攻击可能需要一台已存在超过 90 天、运行 Windows 26H2 的系统：安装了该版本及更新的新系统可能还不够。他还指出，如果 CLFS 认证部分中 Mode 参数的值为 0 或 1，则可能存在该漏洞。在他测试的许多机器中，只有一台符合这些条件。

SignDrop 与微软于 2025 年 10 月推出的 CLFS 保护机制有关，该机制旨在防范对该服务其他漏洞的利用。微软代表未回应该媒体的置评请求。