SignDrop-nullårssårbarheten kan gi en angriper med tilgang til en sårbar Windows-maskin de samme rettighetene som operativsystemets egen SYSTEM-konto. Sikkerhetsforsker Abdelhamid Naceri offentliggjorde sårbarheten og publiserte en demonstrasjonskode som han testet på Windows 11 og Windows Server.
Naceri sporet feilen til en endring Microsoft innførte i oktober 2025 for å beskytte Common Log File System (CLFS), en Windows-komponent som håndterer loggfiler. Ifølge Naceri falt antallet angrep mot CLFS-sårbarheter kraftig etter at Microsoft innførte autentisering av loggfiler. Han oppdaget imidlertid at det nye sikkerhetstiltaket også skapte en mulighet for angripere til å oppnå høyere rettigheter på enkelte maskiner.
Slik påvirker SignDrop-nullårssårbarheten sikkerheten i Windows
Windows kontrollerer en brukers rettigheter når vedkommende oppretter en loggfil. Naceri fant at den første kontrollen fungerer som den skal. Problemet oppstår senere, når Windows håndterer en autentiseringsfil som er knyttet til loggen. På dette tidspunktet kan en operasjon som startet under en vanlig brukerkonto, arve rettighetene til en prosess med høyere privilegier.
Den potensielle påvirkningen omfatter også sikkerhetsprogramvare. Antivirusprogrammer og verktøy for endepunktdeteksjon bruker manipulasjonsbeskyttelse for å hindre andre programmer i å endre filene deres eller deaktivere sikkerhetsfunksjonene. Ifølge Naceri kan SignDrop undergrave denne beskyttelsen fordi sikkerhetsprogramvaren oppfatter filoperasjonen som en forespørsel fra en av sine egne betrodde prosesser.
Hvilke Windows-systemer testet sikkerhetsforskeren?
Naceri testet SignDrop-nullårssårbarheten på Windows 11 26H2, Windows 11 26H2 Experimental og Windows Server 2025 Experimental. Han anslo at omtrent 80 prosent av alle Windows-installasjoner kan være sårbare. Dette tallet er hans eget anslag over hvor utbredt sårbarheten kan være utover de tre konfigurasjonene han faktisk testet.
Per 12. november hadde Microsoft ennå ikke publisert noen sikkerhetsoppdatering for SignDrop. Naceri advarte også mot å deaktivere CLFS-autentisering som en midlertidig løsning. En slik endring ville fjerne beskyttelsen Microsoft innførte mot tidligere sårbarheter knyttet til minnekorrupsjon i den samme driveren.
SignDrop kommer etter en rekke Windows-sårbarheter som Naceri har offentliggjort siden april, inkludert sikkerhetsfeil i Microsoft Defender og BitLocker. Microsoft har siden rettet flere av disse problemene, blant annet ShieldBreak, RoguePlanet og YellowKey.
0 responses to “SignDrop-nullårssårbarhet kan gi SYSTEM-rettigheter i Windows”