ثغرة SignDrop الجديدة في نظام ويندوز تمنح القراصنة صلاحيات SYSTEM

وفقًا للباحث، تكمن المشكلة في طريقة معالجة CLFS لإنشاء ملف المصادقة ".cnpf" عند إنشاء ملف سجل جديد. يبدأ CLFS بفحص الأذونات بشكل صحيح، لكن يمكن استغلال المنطق إذا فتح عملية ذات صلاحيات أعلى الملف لاحقًا.

أوضح ناصري أن عمليات ذات صلاحيات مثل Windows Defender يمكن إجبارها على فتح الملفات، مما يجعل ملف المصادقة يُنشأ بصلاحيات SYSTEM، بينما يحتفظ CLFS بأذونات الملف الأصلي. وأضاف أن المنطق يسمح بالاستغلال حتى ضد أي محرك مضاد للبرمجيات الخبيثة يستخدم حماية ذاتية.

وقال الباحث: "إذا تم ربط كل شيء بشكل صحيح، فإن هذه الحماية الشرعية يمكن أن تُستَخدم ضد نفسها وتسمح بارتفاع الصلاحيات. كل شيء تم تنفيذه بشكل صحيح من مايكروسوفت لكن المنطق يسمح بالاستغلال".

وأشار إلى أن التقنية يمكن أن تُستَخدم لتجاوز حماية أي محرك مضاد للبرمجيات الخبيثة، حيث يتم إنشاء ملف بصورة عشوائية في سياق عملية المضاد نفسها، مما يجعل طلب إنشاء الملف يُنظر إليه كطلب شرعي من قبل برامج تشغيل النواة.

اختبر ناصري الثغرة على إصدارات Windows 11 26H2 وWindows 11 26H2 Experimental وWindows Server 2025 Experimental، ويقدّر أن 80% من تثبيتات ويندوز معرضة للخطر.

يوصي الباحث بتشغيل نموذج إثبات الفكرة (PoC) للتحقق من تعرض الجهاز للثغرة، أو فحص قيمة السجل HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\CLFS\Authentication\Mode. إذا أظهر PoC صدفة SYSTEM أو كانت قيمة السجل 0 أو 1 (وضع التعلم أو وضع التنفيذ)، فإن الجهاز معرض.

حاليًا لا توجد حلول سوى انتظار تصحيح من مايكروسوفت، إذ إن تعطيل تعديل CLFS قد يعرّض الأجهزة لهجمات استغلال فساد الذاكرة.

ناصري، الذي يدّعي أنه موظف سابق في مايكروسوفت، كشف عن قائمة طويلة من الثغرات الصفرية الأخرى في مايكروسوفت ديفندر، BitLocker ومكونات ويندوز منذ أبريل، بما في ذلك BigDiskBuster وShieldCrash وغيرها.

مايكروسوفت حذرت من اتخاذ إجراءات قانونية ضد أي شخص يشن نشاطًا ضارًا يسبب ضررًا حقيقيًا لعملائها، بعد أن نشر ناصري الثغرات علنًا دون إبلاغ خاص.