Le chercheur en sécurité Abdelhamid Naceri, également connu sous le nom de Nightmare Eclipse, a publié une nouvelle vulnérabilité zero-day dans le système d'exploitation Windows connue sous le nom de SignDrop, qui permet aux attaquants d'obtenir des privilèges SYSTEM complets en exploitant le mécanisme de protection ajouté par Microsoft en octobre 2025 pour contrer les attaques d'authentification ciblant le pilote Common Log File System, ou CLFS.
Le chercheur a expliqué que la vulnérabilité réside dans la manière dont le programme CLFS traite la création du fichier d'authentification portant l'extension .cnpf lors de la création d'un nouveau fichier journal. Bien que le système effectue correctement la vérification des autorisations d'accès au début, la logique peut être détournée si un autre processus privilégié ouvre le fichier journal ultérieurement, ce qui incite des processus privilégiés tels que Windows Defender à ouvrir les fichiers et à générer le fichier d'authentification avec des privilèges SYSTEM.
Comment la vulnérabilité contourne-t-elle les mécanismes de protection ?
La vulnérabilité SignDrop se distingue par sa capacité unique à fonctionner contre les mécanismes d'auto-protection de tout moteur anti-malware ou système de détection et de réponse aux menaces (EDR). Cela est dû au fait que la demande de création de fichier semble provenir du processus légitime du moteur lui-même du point de vue des programmes du noyau système, ce qui permet de contourner la protection et de désactiver tout logiciel antivirus.
Naceri a indiqué qu'il avait testé l'exploitation de la vulnérabilité sur les systèmes Windows 11 26H2 et Windows Server 2025 en version préliminaire, estimant qu'environ 80 % des installations de Windows pourraient être vulnérables. Jusqu'à présent, il n'existe aucune solution disponible en dehors de l'attente du correctif de sécurité officiel de Microsoft, étant donné que la désactivation des composants de protection CLFS pourrait exposer les appareils à d'autres risques de sécurité liés à la corruption de la mémoire.
Qu'est-ce que cela signifie pour les utilisateurs et les administrateurs ?
Cette vulnérabilité souligne la complexité des interactions logicielles entre les correctifs de sécurité et les composants fondamentaux du système d'exploitation. En attendant que Microsoft publie une mise à jour de sécurité officielle, les administrateurs système ne peuvent que surveiller les alertes de sécurité et attendre les correctifs officiels, avec la possibilité d'utiliser les outils d'analyse proactive mis à disposition par le chercheur pour vérifier le degré d'exposition des systèmes actuels, sans moyen immédiat d'arrêter totalement le risque.