Osegi
Bezpieczeństwo·1 min czytania

SignDrop: luka w Windows daje zwykłemu userowi prawa System

Badacz skłócony z Microsoftem opublikował SignDrop, lukę zero-day w Windows. Zmusza Defendera do pomocy i daje zwykłemu użytkownikowi pełne prawa System.

A Windows laptop screen showing a command prompt window with a SYSTEM shell, symbolizing a privilege escalation exploit.
Zdjęcie: Ars Technica
SUMODialoediviewergiftdetect

Antywirus, który ma chronić Windows, w tym wypadku sam otwiera atakującemu drzwi. Tak działa SignDrop, nowa luka zero-day w Windows, którą we wtorek ujawnił badacz podpisujący się jako Nightmare Eclipse. Od miesięcy jest on w głośnym sporze z Microsoftem i opublikował już kilka innych podobnych luk.

SignDrop pozwala lokalnemu użytkownikowi z najzwyklejszymi uprawnieniami zdobyć pełne prawa System, czyli najwyższy poziom dostępu w Windows. Błąd tkwi w Common Log File System (CLFS), usłudze logowania, której używają programy działające w trybie użytkownika i jądra. Atakujący zmusza uprzywilejowany proces, na przykład Windows Defender, do otwarcia przygotowanego kontenera CLFS.

Jak działa SignDrop?

Exploit wywołuje legalną funkcję Defendera ServerMpUpdateEngineSignature, służącą do aktualizacji sygnatur antywirusowych. Dzięki dowiązaniom symbolicznym w Object Managerze Defender otwiera plik z uprawnieniami silnika antymalware. Jeśli brakuje powiązanego pliku uwierzytelniania, CLFS tworzy go z uprawnieniami System i kopiuje listę DACL oryginału. Atakujący może więc dostać się do pliku utworzonego jako System.

Ironia polega na tym, że luka wynika z zabezpieczenia, które Microsoft wprowadził w październiku 2025 roku przeciwko innym atakom na CLFS. Według autora Microsoft zrobił wszystko poprawnie, ale logika pozwala to nadużyć. Dodaje, że metoda działa też przeciw innym silnikom antymalware, więc może wyłączać dowolny antywirus lub EDR.

Czy mój komputer jest podatny?

Nightmare Eclipse twierdzi, że exploit działa na Windows 11 26H2, wersji Experimental oraz Windows Server 2025 Experimental. System jest podatny, jeśli tryb uwierzytelniania CLFS to learning lub enforcement.

Badacz Will Dormann potwierdził, że exploit działa, ale nie wszędzie. Według niego wymagane jest Windows 26H2 działające dłużej niż 90 dni, a wartość HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\CLFS\Authentication\Mode musi wynosić 0 lub 1. Spośród wielu jego maszyn warunek spełniała tylko jedna. Wersję systemu sprawdzisz poleceniem „winver”.

Microsoft poinformował, że bada sprawę, nie ma dowodów na wykorzystanie luki w atakach i że Defender blokuje próby jej użycia.

Aplikacje warte uwagi

SUMO: łamigłówka liczbowa

Wybierz właściwe pola, dodaj je i trafiaj w cel. Łatwa do nauczenia, trudna do opanowania. Za darmo, dla każdego wieku.

Tagi:windowszero-daysigndropnightmare eclipsemicrosoft defenderclfs

Więcej z tego dnia

Zobacz wszystkie →

Więcej w kategorii: Bezpieczeństwo

Zobacz wszystkie →