Исследователь опубликовал новую уязвимость нулевого дня в Windows, дающую права System

Исследователь под псевдонимом Nightmare Eclipse, давно находящийся в публичном конфликте с компанией Microsoft, во вторник раскрыл ещё одну неустранённую уязвимость нулевого дня в операционной системе Windows. Она получила название SignDrop и позволяет пользователю с обычными правами получить полные права System, то есть наивысший уровень доступа, в некоторых версиях Windows.

В чём проблема

Уязвимость находится в компоненте Common Log File System (CLFS). Microsoft описывает его как универсальную службу журналирования, которую используют программы, работающие в пользовательском режиме или в режиме ядра.

Злоумышленник может заставить привилегированный процесс, например антивирус Windows Defender, открыть специально созданный контейнер CLFS. Злоупотребив созданием файла с повышенными привилегиями, обычный пользователь может поднять свои права до уровня System.

Как работает атака

Атака основана на взаимодействии CLFS, Windows Defender и файловых разрешений Windows. С помощью легитимной функции Defender ServerMpUpdateEngineSignature, обрабатывающей обновления антивирусных сигнатур, открывается журнальный файл, созданный обычным пользователем. Манипулируя символическими ссылками диспетчера объектов Windows (Object Manager), атакующий добивается того, что Defender открывает контейнер CLFS в контексте безопасности антивирусного движка.

Если связанный файл аутентификации отсутствует, CLFS создаёт его с привилегиями System, которыми обладает Defender. Поскольку новому файлу назначается список управления избирательным доступом (DACL) исходного файла, атакующий может получить доступ к файлу, созданному с правами System. Операцию создания файла можно использовать как часть атаки с повышением привилегий.

Ироничное происхождение

Уязвимость возникла из-за меры безопасности, которую Microsoft внедрила в октябре 2025 года, чтобы не дать злоумышленникам использовать другие уязвимости CLFS. Nightmare Eclipse написал, что при правильной цепочке действий этот легитимный механизм защиты можно обратить против себя и повысить привилегии. По словам исследователя, Microsoft всё сделала правильно, но логика допускает злоупотребление.