Исследователь опубликовал SignDrop для повышения привилегий в Windows — Ars Technica
Исследователь в области кибербезопасности под псевдонимом Nightmare Eclipse раскрыл уязвимость нулевого дня SignDrop в Windows. Она может позволить локальному пользователю с обычными правами получить привилегии уровня System на отдельных версиях операционной системы, сообщает Ars Technica.
Как работает SignDrop
Уязвимость связана с Common Log File System — службой Windows для ведения журналов, которой могут пользоваться приложения в пользовательском режиме и режиме ядра. Атака использует взаимодействие этой службы, Microsoft Defender и механизмов контроля доступа к файлам в Windows.
Согласно описанию издания, злоумышленник может заставить привилегированный процесс, в частности Windows Defender, открыть специально сформированный контейнер CLFS. Для этого используется легитимная функция Defender для обработки обновлений антивирусных сигнатур. Манипуляции символическими ссылками Windows Object Manager позволяют создать связанный файл в контексте антивирусного движка с правами System.
Если файл аутентификации отсутствует, CLFS создаёт его с правами System процесса Defender. При этом служба назначает новому файлу список контроля доступа исходного файла, что может дать атакующему доступ к файлу, созданному с привилегиями System, и использовать это для повышения прав.
Больше актуальных новостей — в Telegram-канале UA.News Telegram.
Какие версии могут быть уязвимы
Nightmare Eclipse заявил, что эксплойт работает в Windows 11 26H2, экспериментальной Windows 11 26H2 и экспериментальной Windows Server 2025. Исследователь Уилл Дорман сообщил Ars Technica, что воспроизвёл эксплойт, однако не на всех версиях Windows 11.
По словам Дормана, для атаки, вероятно, требуется система с Windows 26H2, существующая более 90 дней: новой системы с этой версией и установленными обновлениями может быть недостаточно. Он также отметил, что уязвимость возможна, если значение параметра Mode в разделе аутентификации CLFS равно 0 или 1. Среди многих проверенных им машин этим условиям соответствовала только одна.
SignDrop связывают с механизмом защиты CLFS, который Microsoft внедрила в октябре 2025 года для противодействия эксплуатации других уязвимостей этой службы. Представители Microsoft не ответили на запрос издания о комментарии.
