Güvenlik açığının detayları
"Nightmare Eclipse" adıyla bilinen güvenlik araştırmacısı AbdelHamid Naceri, Windows sistemlerini hedef alan yeni bir "sıfırıncı gün" (Zero-Day) güvenlik açığının detaylarını paylaştı. SignDrop olarak adlandırılan bu açık, yerel kullanıcıların Ortak Günlük Dosyası Sistemi'ndeki (Common Log File System - CLFS) mantıksal bir hatayı istismar ederek ayrıcalıklarını sistem (System) düzeyine yükseltmelerine olanak tanıyor.
CLFS, Windows'ta çekirdek modunda (Kernel Mode) karmaşık günlük dosyalarını analiz eden hayati bir bileşendir ve sık sık saldırıların hedefi olmuştur. Microsoft'un dosya bütünlüğünü artırmak için geçen yıl günlük dosyalarına yönelik kimlik doğrulama mekanizmaları getirmesine rağmen, bu yeni açık, .cnpf uzantılı kimlik doğrulama dosyalarının işlenme biçimini manipüle ederek bu korumayı atlatmaktadır.
İstismar nasıl çalışıyor?
Açık, CLFS sisteminin günlük dosyalarını açarken sergilediği davranışa dayanmaktadır; sistem, boş olsa bile kapsayıcı (Container) dosyasını imzalamaya çalışır. Bir saldırgan, bir günlük dosyası oluşturup bir kapsayıcıya bağlı bir yol belirleyebilir ve ardından Windows Defender programını, imza güncelleme arayüzü (RPC) aracılığıyla kötü amaçlı yazılımdan koruma motoru bağlamında bu dosyayı açmaya zorlayabilir.
Bu işlem, Defender'ın saldırgan tarafından belirlenen bir yolda sistem ayrıcalıklarıyla bir imza dosyası oluşturmasına neden olur. Dosya oluşturulduktan sonra saldırgan, kötü amaçlı bir yük (Payload) eklemek için dosyayı yeniden açabilir ve bu da nihayetinde tam sistem ayrıcalıklarına sahip bir kabuğun (Shell) çalıştırılmasıyla sonuçlanır.
Bu durum kullanıcılar için ne anlama geliyor?
Araştırmacıya göre açık, Windows 11 26H2 ve Windows Server 2025 dahil olmak üzere çok çeşitli Windows sürümlerini etkilemektedir ve dünya genelindeki Windows cihazlarının yaklaşık %80'ini, özellikle son 90 gün içinde güncellenmemiş olanları etkileyebileceği tahmin edilmektedir.
Microsoft, bildirilen açığı araştırdığını ve etkilenen ürünleri güncellemek için gerekli adımları attığını doğruladı. Şirket, Windows Defender'ın şu anda bu açığı istismar etme girişimlerini tespit edip engelleyebildiğini ve bununla ilişkili ayrıcalık yükseltme davranışları konusunda uyarı verebildiğini açıkladı. Ayrıca, açığı başarıyla test eden siber güvenlik şirketi Cyderes tarafından yayınlanan raporlar, bu açığın gerçek saldırılarda (In the wild) kullanıldığına dair henüz bir kanıt bulunmadığını belirtti.