Osegi
Безопасность·1 мин чтения

SignDrop: уязвимость Windows даёт обычному юзеру права System

Исследователь, поссорившийся с Microsoft, выложил SignDrop, уязвимость нулевого дня в Windows. Через Defender она даёт обычному пользователю полные права System.

A Windows laptop screen showing a command prompt window with a SYSTEM shell, symbolizing a privilege escalation exploit.
Фото: Ars Technica
SUMODialoediviewergiftdetect

Защитник Windows здесь работает на атакующего. Новую уязвимость нулевого дня SignDrop во вторник опубликовал исследователь под псевдонимом Nightmare Eclipse. Он уже давно открыто конфликтует с Microsoft и раньше выкладывал другие похожие бреши.

SignDrop позволяет локальному пользователю с обычными правами получить полные права System, то есть высший уровень доступа в Windows. Проблема сидит в Common Log File System (CLFS), службе журналирования, которой пользуются программы в пользовательском режиме и режиме ядра. Атакующий заставляет привилегированный процесс, например Windows Defender, открыть специально созданный контейнер CLFS.

Как работает SignDrop

Эксплойт вызывает легитимную функцию Defender ServerMpUpdateEngineSignature, которая обрабатывает обновления антивирусных сигнатур. С помощью символических ссылок Object Manager Defender открывает файл в контексте антималварного движка. Если связанного файла аутентификации нет, CLFS создаёт его с правами System Defender и копирует в него список DACL исходного файла. Так атакующий получает доступ к файлу, созданному с правами System.

Иронично, что причина в защитной мере, которую Microsoft добавила в октябре 2025 года против других атак на CLFS. По словам автора, Microsoft всё сделала правильно, но логику можно использовать во зло. Он также утверждает, что приём работает против любых антималварных движков, то есть способен отключить любой антивирус или EDR.

Уязвим ли мой компьютер

По данным Nightmare Eclipse, эксплойт сработал на Windows 11 26H2, 26H2 Experimental и Windows Server 2025 Experimental. Система уязвима, если режим аутентификации CLFS равен learning или enforcement.

Исследователь Will Dormann воспроизвёл атаку, но не на всех версиях Windows 11. По его словам, нужна Windows 26H2, установленная более 90 дней, а значение HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\CLFS\Authentication\Mode должно быть 0 или 1. Из множества его машин условию соответствовала одна. Версию системы можно проверить командой «winver».

Microsoft сообщила, что изучает публикацию, не видит свидетельств использования уязвимости в реальных атаках, а Defender блокирует попытки эксплуатации.

Приложения, на которые стоит взглянуть

SUMO: числовая головоломка

Выбирайте нужные клетки, складывайте, достигайте цели. Легко понять, сложно освоить. Бесплатно, для любого возраста.

Теги:windowszero-daysigndropnightmare eclipsemicrosoft defenderclfs

Ещё за этот день

Показать все →

Ещё в рубрике: Безопасность

Показать все →