脆弱性の詳細
「Nightmare Eclipse」として知られるセキュリティ研究者のアブドゥル・ハミド・ナセリ氏は、Windowsシステムを標的とした新たなゼロデイ脆弱性の詳細を公開しました。この脆弱性はSignDropと呼ばれ、共通ログファイルシステム（Common Log File System - CLFS）の論理的な欠陥を悪用することで、ローカルユーザーが自身の権限をシステム（System）レベルまで昇格させることを可能にします。
CLFSは、カーネルモードで複雑なログファイルを解析するWindowsの重要なコンポーネントであり、これまでも頻繁に攻撃の標的となってきました。マイクロソフトは昨年、ファイルの整合性を強化するためにログファイルの認証メカニズムを導入しましたが、この新しい脆弱性は、拡張子.cnpfを持つ認証ファイルの処理方法を操作することで、この保護を回避します。
エクスプロイトの仕組み
この脆弱性は、ログファイルを開く際のCLFSの動作に依存しています。システムは、コンテナファイルが空であっても署名を試みます。攻撃者はログファイルを作成してコンテナに関連付けられたパスを指定し、RPC（リモートプロシージャコール）インターフェースを介してWindows Defenderに、マルウェア対策エンジンのコンテキスト内でそのファイルを開くよう強制することができます。
このプロセスにより、Defenderは攻撃者が指定したパスにシステム権限で署名ファイルを作成します。ファイルが作成されると、攻撃者はそれを再度開いて悪意のあるペイロードを挿入することができ、最終的にシステム権限でシェルを実行することが可能になります。
ユーザーへの影響
研究者によると、この脆弱性はWindows 11 26H2やWindows Server 2025を含む幅広いWindowsバージョンに影響を及ぼします。特に過去90日間にアップデートを行っていないデバイスを含め、世界中のWindowsデバイスの約80%に影響を与える可能性があると推定されています。
マイクロソフト側は、報告された脆弱性を調査中であり、影響を受ける製品を更新するために必要な措置を講じていると述べています。同社は、Windows Defenderが現在、この脆弱性を悪用しようとする試みを検知・ブロックし、関連する権限昇格の動作について警告を発することができると説明しました。また、この脆弱性の検証に成功したサイバーセキュリティ企業Cyderesの報告書によると、現時点ではこの脆弱性が実際の攻撃（In the wild）で悪用された証拠は見つかっていないとのことです。