SignDrop: zero-day в CLFS даёт SYSTEM без патча — уязвимы около 80% установок Windows

Что случилось

12 ноября исследователь Абдельхамид Насери, известный под ником Nightmare Eclipse, опубликовал рабочий эксплойт zero-day для Windows под названием SignDrop. Он повышает права до SYSTEM и, по словам автора, позволяет обойти самозащиту любого антивируса или EDR. Патча на момент публикации нет.

Детали

Уязвимость эксплуатирует механизм защиты, который Microsoft добавила в октябре 2025 года для борьбы с атаками на драйвер CLFS (Common Log File System). После этого число эксплуатаций дыр в CLFS резко упало, но сама защита, как выяснилось, породила новую проблему.

Речь о создании файла аутентификации с расширением .cnpf при формировании нового файла журнала. Проверки доступа в начале операции CLFS выполняет корректно, однако логику можно обмануть, если файл журнала позже откроет другой привилегированный процесс. Такой процесс можно заставить открыть нужный файл — годится, например, Windows Defender: тогда файл аутентификации создаётся с правами SYSTEM и наследует права доступа исходного файла.

• Оценки по CVSS нет, идентификатор CVE на момент публикации не присвоен.
• Автор проверил работу на Windows 11 26H2, Windows 11 26H2 Experimental и Windows Server 2025 Experimental.
• По его оценке, уязвимы около 80 % установок Windows.
• Запрос на создание файла идёт от имени самого антивирусного процесса, поэтому с точки зрения его драйвера выглядит легитимным — так обходится защита от отключения (tamper protection).

Проверить конкретную машину можно двумя способами: запустить PoC и посмотреть, появляется ли консоль с правами SYSTEM, либо посмотреть параметр реестра HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\CLFS\Authentication\Mode — значения 0 и 1 (режим обучения и режим принудительного применения) означают уязвимость. Единственное известное решение — ждать официального патча: отключение защиты CLFS вернёт машины под удар атак через повреждение памяти, от которых её и добавляли.

Что это значит

Для администраторов Windows это ещё одна дыра локального повышения прав без исправления, и на серверных редакциях она опаснее, чем на рабочих станциях: получив обычную учётную запись, атакующий выходит в SYSTEM и снимает защиту EDR. Пока патча нет, разумны обычные меры сдерживания — минимум локальных учётных записей с интерактивным входом, ограничение запуска произвольного кода на терминальных серверах и мониторинг появления подозрительных файлов .cnpf.

Насери, по его словам, бывший сотрудник Microsoft, с апреля публикует zero-day в Defender, BitLocker и других компонентах Windows: BigDiskBuster, ShieldCrash, ShieldBreak, LegacyHive, RoguePlanet, BlueHammer, RedSun, YellowKey, GreenPlasma, MiniPlasma, UnDefend. Часть из них Microsoft уже закрыла, остальные по-прежнему без патчей. После одной из публикаций компания пригрозила судебным преследованием за «вредоносную деятельность», что сообщество восприняло как давление на исследователя.