Nightmare Eclipse olarak da bilinen güvenlik araştırmacısı Abdelhamid Naceri, Windows işletim sisteminde SignDrop olarak bilinen yeni bir sıfır günü açığı yayımladı. Bu açık, saldırganların, Microsoft'un Common Log File System (CLFS) sürücüsünü hedefleyen kimlik doğrulama saldırılarıyla mücadele etmek için Ekim 2025'te eklediği koruma mekanizmasını kötüye kullanarak tam SYSTEM yetkileri elde etmesini sağlıyor.
Araştırmacı, açığın CLFS programının, yeni bir günlük dosyası oluşturulurken .cnpf uzantısını taşıyan kimlik doğrulama dosyasının oluşturulmasını işleme yönteminde yattığını açıkladı. Sistem başlangıçta erişim izinleri kontrolünü doğru bir şekilde gerçekleştirirken, başka bir ayrıcalıklı işlemin günlük dosyasını daha sonra açması durumunda mantık kötüye kullanılabilir; bu da Windows Defender gibi ayrıcalıklı işlemlerin dosyaları açmasını ve SYSTEM yetkileriyle kimlik doğrulama dosyası oluşturmasını tetikler.
Açık, Koruma Mekanizmalarını Nasıl Atlatıyor?
SignDrop açığı, herhangi bir kötü amaçlı yazılım önleme motorunun veya güvenlik eklentisi algılama ve müdahale sistemlerinin (EDR) öz koruma mekanizmalarına karşı çalışabilme yeteneğiyle öne çıkıyor. Bunun nedeni, dosya oluşturma isteğinin çekirdek programı (kernel) perspektifinden motorun kendi meşru sürecinden geliyor gibi görünmesi ve bunun da korumanın atlatılmasına ve herhangi bir antivirüs programının devre dışı bırakılmasına izin vermesidir.
Naceri, açığın istismarını Windows 11 26H2 ve Windows Server 2025 önizleme sistemlerinde test ettiğini belirterek, Windows kurulumlarının yaklaşık %80'inin savunmasız olabileceğini tahmin etti. CLFS koruma müdahalelerinin devre dışı bırakılması, cihazları bellek bozulmasıyla ilgili diğer güvenlik risklerine maruz bırakabileceğinden, Microsoft'tan resmi bir güvenlik yaması beklenmesi dışında şu ana kadar mevcut bir çözüm bulunmuyor.
Bu, Kullanıcılar ve Yöneticiler İçin Ne Anlama Geliyor?
Bu açık, güvenlik düzeltmeleri ile işletim sisteminin temel bileşenleri arasındaki yazılımsal etkileşimlerin karmaşıklığını teyit ediyor. Microsoft resmi bir güvenlik güncellemesi yayınlayana kadar, sistem yöneticilerinin güvenlik uyarılarını izlemekten ve resmi yamaları beklemekten başka bir seçeneği yok; ancak araştırmacının kullanıma sunduğu proaktif tarama araçları, tehlikeyi tamamen durdurmak için anında bir yöntem olmasa da mevcut sistemlerin ne ölçüde etkilendiğini doğrulamak için kullanılabilir.