SignDrop-nuldagssårbarheden kan give en angriber med adgang til en sårbar Windows-computer de samme rettigheder som operativsystemets egen SYSTEM-konto. Sikkerhedsforskeren Abdelhamid Naceri offentliggjorde sårbarheden og frigav en demonstrationskode, som han testede på Windows 11 og Windows Server.
Naceri sporede fejlen til en ændring, som Microsoft indførte i oktober 2025 for at beskytte Common Log File System (CLFS), en Windows-komponent, der håndterer logfiler. Ifølge Naceri faldt antallet af angreb mod CLFS-sårbarheder markant, efter at Microsoft indførte godkendelse af logfiler. Han opdagede dog, at den nye sikkerhedsforanstaltning også skabte en mulighed for, at angribere kunne opnå højere rettigheder på visse computere.
Sådan påvirker SignDrop-nuldagssårbarheden sikkerheden i Windows
Windows kontrollerer en brugers rettigheder, når brugeren opretter en logfil. Naceri fandt ud af, at den første kontrol fungerer efter hensigten. Problemet opstår senere, når Windows håndterer en godkendelsesfil, der er knyttet til loggen. På dette tidspunkt kan en handling, som blev startet fra en almindelig brugerkonto, overtage rettighederne fra en proces med højere privilegier.
Den potentielle påvirkning omfatter også sikkerhedssoftware. Antivirusprogrammer og værktøjer til registrering af trusler på slutenheder bruger manipulationsbeskyttelse til at forhindre andre programmer i at ændre deres filer eller deaktivere deres sikkerhedsfunktioner. Ifølge Naceri kan SignDrop omgå denne beskyttelse, fordi sikkerhedssoftwaren opfatter filhandlingen som en anmodning fra en af sine egne betroede processer.
Hvilke Windows-systemer testede sikkerhedsforskeren?
Naceri testede SignDrop-nuldagssårbarheden på Windows 11 26H2, Windows 11 26H2 Experimental og Windows Server 2025 Experimental. Han vurderede, at omkring 80 procent af alle Windows-installationer kunne være sårbare. Tallet er hans eget skøn over sårbarhedens mulige udbredelse ud over de tre konfigurationer, han faktisk testede.
Pr. 12. november havde Microsoft endnu ikke udsendt en sikkerhedsopdatering til SignDrop. Naceri advarede også mod at deaktivere CLFS-godkendelse som en midlertidig løsning. Det ville fjerne den beskyttelse, som Microsoft tidligere indførte mod sårbarheder relateret til hukommelseskorruption i den samme driver.
SignDrop følger efter en række Windows-sårbarheder, som Naceri har offentliggjort siden april, herunder sikkerhedsfejl i Microsoft Defender og BitLocker. Microsoft har siden rettet flere af disse problemer, blandt andet ShieldBreak, RoguePlanet og YellowKey.
0 svar til “SignDrop-nuldagssårbarhed kan give SYSTEM-rettigheder i Windows”