Badacz opublikował SignDrop do eskalacji uprawnień w Windows — Ars Technica

Badacz cyberbezpieczeństwa działający pod pseudonimem Nightmare Eclipse ujawnił lukę zero-day SignDrop w systemie Windows. Może ona umożliwić lokalnemu użytkownikowi ze standardowymi uprawnieniami uzyskanie uprawnień na poziomie System w niektórych wersjach systemu operacyjnego, informuje Ars Technica.

Jak działa SignDrop

Luka jest związana z Common Log File System — usługą Windows do prowadzenia dzienników, z której mogą korzystać aplikacje w trybie użytkownika i trybie jądra. Atak wykorzystuje współdziałanie tej usługi, Microsoft Defender oraz mechanizmów kontroli dostępu do plików w Windows.

Według opisu publikacji atakujący może zmusić uprzywilejowany proces, w tym Windows Defender, do otwarcia specjalnie spreparowanego kontenera CLFS. W tym celu wykorzystywana jest legalna funkcja Defendera służąca do przetwarzania aktualizacji sygnatur antywirusowych. Manipulowanie dowiązaniami symbolicznymi Windows Object Manager umożliwia utworzenie powiązanego pliku w kontekście silnika antywirusowego z uprawnieniami System.

Jeśli plik uwierzytelniający nie istnieje, CLFS tworzy go z uprawnieniami System procesu Defender. Jednocześnie usługa przypisuje nowemu plikowi listę kontroli dostępu oryginalnego pliku, co może dać atakującemu dostęp do pliku utworzonego z uprawnieniami System i wykorzystać go do eskalacji uprawnień.

Więcej aktualnych wiadomości na kanale UA.News w Telegramie Telegram.

Które wersje mogą być podatne

Nightmare Eclipse stwierdził, że exploit działa w Windows 11 26H2, eksperymentalnym Windows 11 26H2 oraz eksperymentalnym Windows Server 2025. Badacz Will Dorman powiedział Ars Technica, że odtworzył działanie exploita, jednak nie we wszystkich wersjach Windows 11.

Według Dormana atak prawdopodobnie wymaga systemu z Windows 26H2, który istnieje od ponad 90 dni: nowy system z tą wersją i zainstalowanymi aktualizacjami może nie wystarczyć. Zaznaczył również, że luka jest możliwa, jeśli wartość parametru Mode w sekcji uwierzytelniania CLFS wynosi 0 lub 1. Spośród wielu przetestowanych przez niego maszyn warunki te spełniała tylko jedna.

SignDrop wiązany jest z mechanizmem ochrony CLFS, który Microsoft wprowadził w październiku 2025 roku, aby przeciwdziałać wykorzystywaniu innych luk w tej usłudze. Przedstawiciele Microsoftu nie odpowiedzieli na prośbę publikacji o komentarz.