Уязвимость SignDrop позволяет получить права System в некоторых версиях Windows

Что произошло

Во вторник исследователь Nightmare Eclipse раскрыл SignDrop — уязвимость нулевого дня в Windows. Она позволяет локальным пользователям получить полные права System на некоторых версиях операционной системы.

Уязвимость находится в Common Log File System, который Microsoft описывает как универсальную службу журналирования для программ, работающих в пользовательском или ядерном режиме.

Как работает атака

Эксплойт заставляет привилегированный процесс, например Windows Defender, открыть специально созданный контейнер CLFS. Для этого используется легитимная функция Defender ServerMpUpdateEngineSignature, предназначенная для обработки обновлений антивирусных сигнатур.

С помощью символических ссылок Windows Object Manager атакующий добивается открытия контейнера в контексте антивирусного движка. Если связанный файл аутентификации отсутствует, CLFS создаёт его с привилегиями System.

Новому файлу назначается список управления доступом Discretionary Access Control List исходного файла. В результате атакующий может получить доступ к объекту, созданному с привилегиями System, и использовать операцию создания файла для повышения привилегий.

По словам Nightmare Eclipse, механизм также может применяться против антивирусных движков для обхода их самозащиты или защиты от несанкционированных изменений.

Почему это важно

Уязвимость связана с защитной мерой, которую Microsoft представила в октябре 2025 года для предотвращения эксплуатации других уязвимостей CLFS. Nightmare Eclipse отметил, что при правильной цепочке действий эта мера может быть использована против самой себя.

Исследователь заявил, что при режиме обучения или режиме принудительного применения аутентификации CLFS система уязвима, а опубликованный PoC должен запускать оболочку SYSTEM.

Контекст

Nightmare Eclipse ранее публиковал другие уязвимости нулевого дня в Windows. Исследователь Will Dormann подтвердил, что смог воспроизвести эксплойт и что он работает описанным образом, однако не на всех версиях Windows 11.

Dormann добавил, что эксплойт, по-видимому, требует Windows 26H2, которая существует более 90 дней. На новой системе Windows 26H2 одной установки обновлений может быть недостаточно для работы эксплойта.