SignDrop-Zero-Day-Schwachstelle kann SYSTEM-Rechte unter Windows ermöglichen

Die SignDrop-Zero-Day-Schwachstelle kann einem Angreifer, der Zugriff auf einen anfälligen Windows-Computer hat, die Berechtigungen des systemeigenen SYSTEM-Kontos verschaffen. Der Sicherheitsforscher Abdelhamid Naceri veröffentlichte die Schwachstelle und stellte einen Proof of Concept bereit, den er unter Windows 11 und Windows Server testete.

Naceri führte den Fehler auf eine Änderung zurück, die Microsoft im Oktober 2025 zum Schutz des Common Log File System (CLFS) eingeführt hatte. Diese Windows-Komponente verwaltet Protokolldateien. Laut Naceri ging die Zahl der Angriffe auf CLFS-Schwachstellen deutlich zurück, nachdem Microsoft eine Authentifizierung für Protokolldateien eingeführt hatte. Allerdings entdeckte er, dass die neue Schutzmaßnahme Angreifern auch eine Möglichkeit eröffnete, auf bestimmten Computern höhere Berechtigungen zu erlangen.

So beeinflusst die SignDrop-Zero-Day-Schwachstelle die Windows-Sicherheit

Windows überprüft die Berechtigungen eines Nutzers, wenn dieser eine Protokolldatei erstellt. Naceri stellte fest, dass die erste Überprüfung wie vorgesehen funktioniert. Das Problem entsteht erst später, wenn Windows eine mit dem Protokoll verknüpfte Authentifizierungsdatei verarbeitet. Dabei kann ein Vorgang, der unter einem gewöhnlichen Benutzerkonto gestartet wurde, die Berechtigungen eines Prozesses mit höheren Privilegien übernehmen.

Die möglichen Auswirkungen betreffen auch Sicherheitssoftware. Antivirenprogramme und Tools zur Erkennung von Bedrohungen auf Endgeräten verwenden Manipulationsschutz, um zu verhindern, dass andere Programme ihre Dateien verändern oder ihre Schutzfunktionen deaktivieren. Laut Naceri kann SignDrop diesen Schutz untergraben, da die Sicherheitssoftware den Dateivorgang als Anfrage eines ihrer eigenen vertrauenswürdigen Prozesse erkennt.

Welche Windows-Systeme testete der Sicherheitsforscher?

Naceri testete die SignDrop-Zero-Day-Schwachstelle unter Windows 11 26H2, Windows 11 26H2 Experimental und Windows Server 2025 Experimental. Er schätzte, dass etwa 80 Prozent aller Windows-Installationen anfällig sein könnten. Diese Zahl stellt seine eigene Einschätzung der möglichen Verbreitung der Schwachstelle über die drei tatsächlich getesteten Konfigurationen hinaus dar.

Bis zum 12. November hatte Microsoft noch keinen Sicherheitspatch für SignDrop veröffentlicht. Naceri warnte außerdem davor, die CLFS-Authentifizierung als vorübergehende Lösung zu deaktivieren. Dadurch würde der Schutz entfallen, den Microsoft zuvor gegen Schwachstellen durch Speicherbeschädigung im selben Treiber eingeführt hatte.

SignDrop reiht sich in eine Serie von Windows-Schwachstellen ein, die Naceri seit April offengelegt hat. Dazu gehören auch Sicherheitslücken in Microsoft Defender und BitLocker. Microsoft hat inzwischen mehrere dieser Probleme behoben, darunter ShieldBreak, RoguePlanet und YellowKey.