Подробности уязвимости
Исследователь безопасности Абдельхамид Нассери, известный под псевдонимом "Nightmare Eclipse", опубликовал подробности новой уязвимости нулевого дня (Zero-Day), затрагивающей системы Windows. Уязвимость получила название SignDrop и позволяет локальным пользователям повысить свои привилегии до уровня системы (System) путем использования логической ошибки в общей файловой системе журналов (Common Log File System - CLFS).
Система CLFS является критически важным компонентом Windows, который анализирует сложные файлы журналов в режиме ядра (Kernel Mode) и часто становится целью атак. Несмотря на то, что в прошлом году Microsoft внедрила механизмы проверки подлинности файлов журналов для повышения их безопасности, новая уязвимость обходит эту защиту путем манипуляции тем, как обрабатываются файлы подписи с расширением .cnpf.
Как работает эксплойт?
Уязвимость основана на поведении системы CLFS при открытии файлов журналов: система пытается подписать файл контейнера (Container), даже если он пуст. Злоумышленник может создать файл журнала, указать путь, связанный с контейнером, а затем заставить программу Windows Defender открыть этот файл в контексте движка антивирусного ПО через интерфейс обновления подписей (RPC).
Этот процесс приводит к тому, что Defender создает файл подписи с системными привилегиями по пути, указанному злоумышленником. Как только файл создан, злоумышленник может повторно открыть его для внедрения вредоносной нагрузки (Payload), что в конечном итоге приводит к запуску оболочки (Shell) с полными системными привилегиями.
Что это означает для пользователей?
По словам исследователя, уязвимость затрагивает широкий спектр версий Windows, включая Windows 11 26H2 и Windows Server 2025. Предполагается, что она может затрагивать около 80% устройств под управлением Windows по всему миру, особенно те, которые не обновлялись в течение последних 90 дней.
Со своей стороны, компания Microsoft подтвердила, что расследует сообщенную уязвимость и работает над принятием необходимых мер для обновления затронутых продуктов. Компания пояснила, что Windows Defender в настоящее время способен обнаруживать и блокировать попытки использования этой уязвимости, а также предупреждать о действиях по повышению привилегий, связанных с ней. Отчеты компании по кибербезопасности Cyderes, которая успешно протестировала уязвимость, также указывают на отсутствие на данный момент доказательств использования этой уязвимости в реальных атаках (In the wild).