SignDrop:Defenderを悪用しSYSTEM権限を奪うWindowsゼロデイ
Microsoftと対立する研究者が、WindowsのゼロデイSignDropを公開。Defenderを利用して一般ユーザーにSYSTEM権限を与えてしまう。
Microsoftと公然と対立している研究者が、またWindowsのゼロデイ脆弱性を公開した。「SignDrop」と名付けられたこの欠陥は、Windows Defender自身を利用して、一般のローカルユーザーに最上位のSYSTEM権限を与えてしまう。
公開したのは、Nightmare Eclipseという偽名の研究者で、火曜日に明らかにした。ここ数か月、Windowsのゼロデイを何度も公開してきた人物だ。問題はCommon Log File System(CLFS)にある。Microsoftはこれをユーザーモードとカーネルモードのソフトが使う汎用のログ機能と説明している。
SignDropの仕組み
攻撃者はDefenderの正規機能ServerMpUpdateEngineSignatureを使い、自分で作ったCLFSのログファイルをDefenderに開かせる。Object Managerのシンボリックリンクを操作すると、ファイルはマルウェア対策エンジンの権限で開かれる。関連する認証ファイルがなければ、CLFSはDefenderのSYSTEM権限で作成する。しかも元ファイルのDACL(アクセス制御リスト)を引き継ぐため、攻撃者がそのファイルにアクセスできてしまう。
皮肉なことに、原因は2025年10月にMicrosoftがCLFSの別の脆弱性対策として導入した防御策だという。研究者は「Microsoftは正しく実装しているが、ロジックが悪用を許す」と書いている。同じ手口で他のウイルス対策ソフトの自己防衛も回避できると主張している。
影響を受けるのはどのWindowsか
研究者によれば、Windows 11 26H2、Windows 11 26H2 Experimental、Windows Server 2025 Experimentalで動作した。CLFSの認証モードが学習モードか強制モードなら脆弱だという。
研究者のWill Dormann氏は再現に成功し、説明どおり動くが全てのWindows 11ではないと述べた。26H2で、しかも導入から90日以上たった環境が必要らしい。レジストリのCLFS\Authentication\Modeが0か1である必要があり、同氏の多数のマシンのうち条件を満たしたのは1台だけだった。バージョンは「winver」で確認できる。
Microsoftは調査中で、悪用の証拠はなく、Defenderが悪用の試みをブロックするとしている。
注目のアプリ
SUMO：数字パズル正しいマスを選んで足し算、目標の数に。覚えるのは簡単、極めるのは難しい。無料、全年齢向け。
Dialo：話して学ぶ語学アプリAIの会話パートナーと話すだけ。一文ごとに添削され、あなたの言語で解説が返ってきます。9言語、A1からC2まで。
ediviewer：EDIファイルを文書のように読むEDIFACTやX12メッセージを開き、各セグメントの意味を表示。JSON/XML変換、PDF・Excel出力。ローカルで動作、アップロード不要。
giftdetect：数分でぴったりの贈り物相手、シーン、性格を選ぶだけ。検索エンジンが地元ショップの商品説明を読み、合うものを並べます。無料、登録不要。
