Details zur Sicherheitslücke
Der Sicherheitsforscher AbdelHamid Naceri, bekannt als "Nightmare Eclipse", hat Details zu einer neuen Zero-Day-Schwachstelle veröffentlicht, die Windows-Systeme betrifft. Die Schwachstelle ist als SignDrop bekannt und ermöglicht es lokalen Benutzern, ihre Berechtigungen auf die Systemebene (System) zu heben, indem sie einen logischen Fehler im Common Log File System (CLFS) ausnutzen.
Das CLFS ist eine kritische Komponente in Windows, die komplexe Protokolldateien im Kernel-Modus analysiert und ein häufiges Ziel für Angriffe war. Obwohl Microsoft im vergangenen Jahr Authentifizierungsmechanismen für Protokolldateien eingeführt hat, um die Dateiintegrität zu verbessern, umgeht die neue Schwachstelle diesen Schutz durch Manipulation der Verarbeitung von Authentifizierungsdateien mit der Endung .cnpf.
Wie funktioniert der Exploit?
Die Schwachstelle basiert auf dem Verhalten des CLFS beim Öffnen von Protokolldateien; das System versucht, die Container-Datei zu signieren, selbst wenn sie leer ist. Ein Angreifer kann eine Protokolldatei erstellen, einen Pfad festlegen, der mit einem Container verknüpft ist, und dann Windows Defender dazu zwingen, diese Datei im Kontext der Antimalware-Engine über die RPC-Schnittstelle (Remote Procedure Call) zu öffnen.
Dieser Prozess führt dazu, dass Defender eine Signaturdatei mit Systemrechten in einem vom Angreifer festgelegten Pfad erstellt. Sobald die Datei erstellt ist, kann der Angreifer sie erneut öffnen, um eine schädliche Nutzlast (Payload) einzufügen, was letztendlich zur Ausführung einer Shell mit vollen Systemrechten führt.
Was bedeutet das für Benutzer?
Laut dem Forscher betrifft die Schwachstelle eine breite Palette von Windows-Versionen, einschließlich Windows 11 26H2 und Windows Server 2025. Es wird geschätzt, dass etwa 80 % der Windows-Geräte weltweit betroffen sein könnten, insbesondere solche, die in den letzten 90 Tagen nicht aktualisiert wurden.
Microsoft bestätigte seinerseits, dass das Unternehmen die gemeldete Schwachstelle untersucht und Schritte zur Aktualisierung der betroffenen Produkte einleitet. Das Unternehmen erklärte, dass Windows Defender derzeit in der Lage sei, Versuche zur Ausnutzung dieser Schwachstelle zu erkennen und zu blockieren sowie vor den damit verbundenen Verhaltensweisen zur Privilegieneskalation zu warnen. Berichte des Cybersicherheitsunternehmens Cyderes, das die Schwachstelle erfolgreich getestet hat, deuten zudem darauf hin, dass es bisher keine Beweise für eine Ausnutzung dieser Schwachstelle bei tatsächlichen Angriffen (In the wild) gibt.