Обнаружена новая уязвимость нулевого дня SignDrop в Windows, позволяющая получить привилегии SYSTEM

man holding sword and shield — Kyle Smith / Unsplash

Исследователь безопасности Abdelhamid Naceri, также известный как Nightmare Eclipse, выпустил новый эксплойт нулевого дня для Windows, который может позволить злоумышленникам получить привилегии SYSTEM.

Уязвимость под названием SignDrop использует механизмы защиты, которые Microsoft внедрила в октябре 2025 года для борьбы с атаками на аутентификацию в драйвере Common Log File System, или CLFS. Naceri сообщил, что количество атак на CLFS резко сократилось после внедрения этих мер, однако сама защита создала новую проблему.

По словам Naceri, ошибка заключается в том, как CLFS обрабатывает создание файла аутентификации с расширением .cnpf при создании нового лог-файла. Хотя проверки доступа в начале процесса выполняются корректно, логика может быть использована, если позже лог-файл открывает другой привилегированный процесс.

Привилегированные процессы, такие как Windows Defender, могут быть принуждены открыть такие файлы. В результате файл аутентификации создается с привилегиями SYSTEM, при этом CLFS присваивает ему разрешения доступа оригинального файла. Naceri отметил, что эта техника позволяет обходить механизмы самозащиты любого антивирусного движка, так как запрос на создание файла выглядит как исходящий от легитимного процесса самого движка.

Эксплойт был протестирован на Windows 11 26H2, Windows 11 26H2 Experimental и Windows Server 2025 Experimental. По оценкам исследователя, уязвимыми могут быть 80 процентов всех установок Windows.

Для проверки устройства Naceri рекомендует запустить демонстрационный эксплойт или проверить значение в реестре по пути HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\CLFS\Authentication\Mode. Если значение равно 0 или 1, компьютер считается уязвимым.

На данный момент решение отсутствует, и пользователям остается ждать исправления от Microsoft. Отключение защиты CLFS не рекомендуется, так как это подвергнет устройства атакам, использующим уязвимости повреждения памяти.

Naceri, который называет себя бывшим сотрудником Microsoft, с апреля раскрыл множество других уязвимостей нулевого дня в компонентах Windows, включая Microsoft Defender и BitLocker. Некоторые из них уже исправлены, но для ряда ошибок официальные патчи все еще отсутствуют.