新型 Windows SignDrop 零日漏洞可使攻击者获得系统权限

根据 Naceri 的分析，缺陷存在于通用日志文件系统在创建新日志文件时处理身份验证文件的逻辑中。虽然系统在开始时正确执行了访问检查，但如果随后有另一个特权进程打开该日志文件，则该逻辑可被滥用。例如，Windows Defender 等特权进程可被强制打开文件，导致身份验证文件以 SYSTEM 权限创建，且通用日志文件系统会使用原始文件的访问权限来创建它。

Naceri 表示，由于文件创建请求看似来自反恶意软件引擎自身的合法进程，因此该技术可绕过任何反恶意软件引擎的自我防御或篡改保护机制，从而关闭任何杀毒软件或端点检测与响应系统。他认为，这种合法的安全缓解措施被反过来用于提升权限。

该漏洞并非影响所有 Windows 设备。Naceri 在 Windows 11 26H2、Windows 11 26H2 实验版以及 Windows Server 2025 实验版上进行了测试，并估计 80% 的 Windows 安装版本存在漏洞。他建议通过运行概念验证利用程序或检查注册表中的特定值来确认设备是否受影响。

目前除了等待 Microsoft 发布补丁外没有其他解决方案，因为禁用该缓解措施会使设备面临内存损坏漏洞的攻击。Naceri 是一名前 Microsoft 员工，自 4 月以来已披露包括 Microsoft Defender 和 BitLocker 在内的多个零日漏洞。尽管 Microsoft 已修复部分漏洞，但其他部分仍缺乏官方补丁。