Osegi
Güvenlik·1 dk okuma

SignDrop Windows açığı, sıradan kullanıcıya System yetkisi veriyor

Microsoft'la kavgalı bir araştırmacı SignDrop adlı Windows açığını yayımladı. Defender'ı kullanarak sıradan bir kullanıcıya tam System yetkisi veriyor.

A Windows laptop screen showing a command prompt window with a SYSTEM shell, symbolizing a privilege escalation exploit.
Görsel: Ars Technica
SUMODialoediviewergiftdetect

Windows'u korumak için var olan Defender, bu kez saldırganın işini görüyor. SignDrop adlı yeni Windows sıfırıncı gün (zero-day) açığını salı günü Nightmare Eclipse takma adlı araştırmacı yayımladı. Kendisi aylardır Microsoft'la herkesin gözü önünde bir kavga içinde ve daha önce de benzer açıklar paylaşmıştı.

SignDrop, yerel ve sıradan yetkilere sahip bir kullanıcının Windows'ta en yüksek seviye olan System yetkisini almasına izin veriyor. Açık, hem kullanıcı hem çekirdek modundaki yazılımların kullandığı Common Log File System (CLFS) günlükleme hizmetinde. Saldırgan, Windows Defender gibi ayrıcalıklı bir süreci hazırlanmış bir CLFS kapsayıcısını açmaya zorluyor.

SignDrop nasıl çalışıyor?

Saldırı, Defender'ın antivirüs imza güncellemelerini işleyen meşru ServerMpUpdateEngineSignature işlevini çağırıyor. Object Manager sembolik bağlantıları sayesinde Defender, dosyayı kötü amaçlı yazılımdan koruma motorunun yetkisiyle açıyor. İlişkili kimlik doğrulama dosyası yoksa CLFS onu Defender'ın System yetkisiyle oluşturuyor ve özgün dosyanın DACL listesini yeni dosyaya veriyor. Saldırgan da System yetkisiyle oluşturulmuş dosyaya erişebiliyor.

İş ironik: açık, Microsoft'un Ekim 2025'te CLFS'deki başka açıkları engellemek için getirdiği bir güvenlik önleminden doğuyor. Araştırmacıya göre Microsoft her şeyi doğru yapmış, ama mantık kötüye kullanılabiliyor. Yöntemin başka antimalware motorlarına karşı da işe yarayabileceğini, yani herhangi bir antivirüsü ya da EDR'yi devre dışı bırakabileceğini söylüyor.

Bilgisayarım etkileniyor mu?

Nightmare Eclipse, istismarın Windows 11 26H2, 26H2 Experimental ve Windows Server 2025 Experimental üzerinde çalıştığını belirtiyor. CLFS kimlik doğrulama modu learning ya da enforcement ise sistem savunmasız.

Araştırmacı Will Dormann açığı yeniden üretebildiğini, ancak her Windows 11 sürümünde çalışmadığını söyledi. Ona göre sistemin 26H2 olması ve 90 günden uzun süredir var olması gerekiyor. HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\CLFS\Authentication\Mode değeri de 0 veya 1 olmalı. Dormann'ın birçok makinesinden yalnızca biri bu koşulu sağladı. Sürümünüzü “winver” komutuyla görebilirsiniz.

Microsoft konuyu incelediğini, açığın gerçek saldırılarda kullanıldığına dair kanıt görmediğini ve Defender'ın istismar girişimlerini engellediğini açıkladı.

Göz atmaya değer uygulamalar

SUMO: sayı bulmacası

Doğru kareleri seçin, toplayın, hedefe ulaşın. Öğrenmesi kolay, ustalaşması zor. Ücretsiz, her yaşa uygun.

Dialo: konuşarak dil öğrenin

Yapay zekâ sohbet partneriyle konuşun; her cümleniz düzeltilip kendi dilinizde açıklanarak geri gelsin. 9 dil, A1'den C2'ye.

Etiketler:windowszero-daysigndropnightmare eclipsemicrosoft defenderclfs

Aynı günden diğer haberler

Tümünü gör →

Daha fazla: Güvenlik

Tümünü gör →