Недавно обнаруженная уязвимость нулевого дня в Windows, получившая название SignDrop, позволяет злоумышленникам с обычными пользовательскими правами потенциально получить полный доступ уровня SYSTEM, используя механизм безопасности, который Microsoft внедрила в прошлом году. Ирония заключается в том, что затронутый компонент изначально предназначался для предотвращения аналогичных атак, связанных с повышением привилегий.
Исследователь информационной безопасности Абдельхамид Насери (Abdelhamid Naceri), также известный под псевдонимами Nightmare Eclipse и MSNightmare, 10 ноября 2026 года опубликовал на GitHub демонстрационный эксплойт (PoC). Уязвимость затрагивает драйвер Microsoft Common Log File System (CLFS), отвечающий за ведение журналов приложений Windows и системных служб.
SignDrop использует Windows Defender и CLFS для получения привилегий SYSTEM.
В октябре 2025 года Microsoft внедрила усиленную проверку подлинности CLFS, призванную устранить давние проблемы безопасности. Этот механизм использует криптографические коды аутентификации для проверки целостности файлов журналов перед обработкой их содержимого драйвером.
Однако Насери обнаружил, что сам механизм аутентификации можно использовать для создания файлов с повышенными привилегиями.
В частности, уязвимость затрагивает процесс создания драйвером clfs.sys сопутствующих файлов аутентификации с расширением .cnpf. Злоумышленник может подготовить специальным образом сформированный файл журнала, а затем заставить привилегированный процесс Windows, например Microsoft Defender, открыть его.
В результате такого взаимодействия CLFS способен создать файл аутентификации с привилегиями SYSTEM, сохранив при этом разрешения доступа, унаследованные от файла, контролируемого злоумышленником. В сочетании с дополнительными манипуляциями это позволяет обычному пользователю повысить свои привилегии до системного уровня.
Исследователь также утверждает, что подобная техника потенциально позволяет обходить механизмы защиты антивирусов и систем обнаружения и реагирования на угрозы (EDR), поскольку операции с файлами, выполняемые с повышенными привилегиями, выглядят как действия легитимных процессов безопасности.
Независимые специалисты по кибербезопасности из компании Cyderes успешно воспроизвели эксплуатацию уязвимости и получили командную оболочку с привилегиями SYSTEM, подтвердив работоспособность метода при определённых условиях.
Microsoft расследует SignDrop, а исследователи предупреждают о масштабах потенциальной угрозы.
Насери протестировал SignDrop на Windows 11 26H2, Windows 11 26H2 Experimental и Windows Server 2025 Experimental. По его оценке, уязвимыми могут оказаться приблизительно 80% установленных систем Windows. Однако эта цифра пока не подтверждена, а независимые исследователи сообщают об ограничениях совместимости и надёжности эксплойта.
Пользователи могут проверить через реестр Windows, включён ли затронутый механизм аутентификации CLFS. Согласно документации Microsoft, значение 0 (режим принудительного применения, Enforcement Mode) или 1 (режим обучения, Learning Mode) указывает на активную защиту и потенциально уязвимую конфигурацию. Однако само по себе наличие такого значения ещё не гарантирует успешную эксплуатацию SignDrop.
При этом пользователям не рекомендуется отключать аутентификацию CLFS в качестве временного решения, поскольку подобные действия могут снова сделать компьютеры уязвимыми для более старых атак, связанных с повреждением памяти.
Microsoft подтвердила получение сообщений об уязвимости и начала расследование. В заявлении для SecurityWeek компания сообщила, что Microsoft Defender способен обнаруживать и блокировать попытки эксплуатации SignDrop. Кроме того, разработчик Windows подчеркнул, что пока не обнаружил свидетельств использования уязвимости злоумышленниками в реальных атаках.
На момент публикации SignDrop ещё не получила официального идентификатора CVE, а отдельное исправление безопасности для неё не выпущено. Пользователям рекомендуется продолжать устанавливать обновления Windows и Microsoft Defender, ожидая дальнейших рекомендаций от Microsoft.
Источник: www.playground.ru