Un chercheur en sécurité connu sous le pseudonyme "Nightmare Eclipse" a révélé une nouvelle vulnérabilité de type "zero-day" dans le système d'exploitation Windows, baptisée SignDrop. Cette faille permet aux utilisateurs locaux disposant de privilèges limités d'élever leurs privilèges pour atteindre le niveau système complet (System), leur accordant ainsi un contrôle étendu sur l'appareil compromis.
Mécanisme de la vulnérabilité
La faille réside dans le service Common Log File System (CLFS), un service de fichiers journaux utilisé par les applications Windows. L'attaque exploite l'interaction entre ce service et le programme "Windows Defender". L'attaquant manipule les liens du gestionnaire d'objets de Windows pour forcer Defender à ouvrir un conteneur CLFS spécialement conçu dans un contexte de sécurité élevé. Étant donné que le service crée de nouveaux fichiers avec des privilèges système, l'attaquant peut exploiter ce processus pour contourner les restrictions de sécurité.
Pourquoi cette nouvelle est-elle importante ?
Cette vulnérabilité revêt une importance particulière car elle transforme une mesure de sécurité conçue par Microsoft en octobre 2025 pour prévenir des attaques précédentes en un outil d'intrusion. Le chercheur a souligné que la faille est unique en son genre car elle peut être utilisée contre n'importe quel moteur anti-logiciels malveillants (Antimalware) pour désactiver ses mécanismes d'autodéfense, la demande de création de fichier apparaissant au moteur comme provenant d'un processus légitime et fiable.
Portée de l'impact et limitations
Le chercheur a confirmé que la vulnérabilité affecte des versions spécifiques telles que Windows 11 26H2 et Windows Server 2025 Experimental. De son côté, le chercheur en sécurité Will Dormann a expliqué que la reproduction de la faille est possible, mais qu'elle nécessite des conditions spécifiques, notamment que le système ait été installé depuis plus de 90 jours et que la valeur du mode d'authentification dans le registre système soit réglée sur 0 ou 1.
Pour sa part, Microsoft a déclaré qu'elle enquêtait sur le rapport, confirmant l'absence de preuves d'exploitation de la faille dans des attaques réelles jusqu'à présent, et que le programme Defender travaille à bloquer les tentatives d'exploitation potentielles.