Détails de la vulnérabilité
Le chercheur en sécurité AbdelHamid Naceri, connu sous le nom de "Nightmare Eclipse", a publié les détails d'une nouvelle vulnérabilité zero-day ciblant les systèmes Windows. La vulnérabilité est connue sous le nom de SignDrop et permet aux utilisateurs locaux d'élever leurs privilèges au niveau système (System) en exploitant une faille logique dans le système de fichiers de journaux communs (Common Log File System - CLFS).
Le système CLFS est un composant vital de Windows qui analyse des fichiers de journaux complexes en mode noyau (Kernel Mode) et a été une cible fréquente d'attaques. Bien que Microsoft ait introduit des mécanismes de signature pour les fichiers de journaux l'année dernière afin de renforcer l'intégrité des fichiers, la nouvelle vulnérabilité contourne cette protection en manipulant la manière dont les fichiers de signature avec l'extension .cnpf sont traités.
Comment fonctionne l'exploitation ?
La vulnérabilité repose sur le comportement du système CLFS lors de l'ouverture de fichiers de journaux ; le système tente de signer le fichier conteneur (Container) même s'il est vide. Un attaquant peut créer un fichier journal et spécifier un chemin associé à un conteneur, puis forcer le programme Windows Defender à ouvrir ce fichier dans le contexte du moteur anti-logiciels malveillants via l'interface de mise à jour des signatures (RPC).
Ce processus conduit Defender à créer un fichier de signature avec des privilèges système dans un chemin spécifié par l'attaquant. Une fois le fichier créé, l'attaquant peut le rouvrir pour insérer une charge utile malveillante (Payload), ce qui finit par exécuter un shell avec des privilèges système complets.
Qu'est-ce que cela signifie pour les utilisateurs ?
Selon le chercheur, la vulnérabilité affecte un large éventail de versions de Windows, notamment Windows 11 26H2 et Windows Server 2025, et on estime qu'elle pourrait toucher environ 80 % des appareils Windows dans le monde, en particulier ceux qui n'ont pas été mis à jour au cours des 90 derniers jours.
De son côté, Microsoft a confirmé qu'elle enquêtait sur la vulnérabilité signalée et travaillait à prendre les mesures nécessaires pour mettre à jour les produits concernés. La société a précisé que Windows Defender est actuellement capable de détecter et de bloquer les tentatives d'exploitation de cette vulnérabilité et d'alerter sur les comportements d'élévation de privilèges associés. De plus, les rapports publiés par la société de cybersécurité Cyderes, qui a testé la vulnérabilité avec succès, indiquent qu'il n'existe aucune preuve à ce jour d'une exploitation de cette vulnérabilité dans des attaques réelles (In the wild).