SignDrop-nolldagssårbarhet kan ge SYSTEM-behörighet i Windows

SignDrop-nolldagssårbarheten kan ge en angripare som har tillgång till en sårbar Windows-dator samma behörigheter som operativsystemets eget SYSTEM-konto. Säkerhetsforskaren Abdelhamid Naceri offentliggjorde sårbarheten och publicerade en fungerande demonstrationskod som han testade på Windows 11 och Windows Server.

Naceri spårade felet till en ändring som Microsoft införde i oktober 2025 för att skydda Common Log File System (CLFS), en Windows-komponent som hanterar loggfiler. Enligt Naceri minskade antalet attacker mot CLFS-sårbarheter kraftigt efter att Microsoft införde autentisering för loggfiler. Han upptäckte dock att den nya skyddsåtgärden också skapade en möjlighet för angripare att höja sina behörigheter på vissa datorer.

Så påverkar SignDrop-nolldagssårbarheten säkerheten i Windows

Windows kontrollerar en användares behörigheter när användaren skapar en loggfil. Naceri upptäckte att den första kontrollen fungerar som avsett. Problemet uppstår senare när Windows hanterar en autentiseringsfil som är kopplad till loggen. Då kan en åtgärd som påbörjades från ett vanligt användarkonto ärva behörigheterna från en process med högre privilegier.

Den potentiella påverkan omfattar även säkerhetsprogram. Antivirusprogram och verktyg för att upptäcka hot på slutenheter använder manipulationsskydd för att hindra andra program från att ändra deras filer eller inaktivera deras skydd. Enligt Naceri kan SignDrop kringgå detta skydd eftersom säkerhetsprogrammet uppfattar filåtgärden som en begäran från en av sina egna betrodda processer.

Vilka Windows-system testade säkerhetsforskaren?

Naceri testade SignDrop-nolldagssårbarheten på Windows 11 26H2, Windows 11 26H2 Experimental och Windows Server 2025 Experimental. Han uppskattade att omkring 80 procent av alla Windows-installationer kan vara sårbara. Siffran är hans egen uppskattning av hur omfattande sårbarheten kan vara utöver de tre konfigurationer som han faktiskt testade.

Den 12 november hade Microsoft ännu inte släppt någon säkerhetsuppdatering för SignDrop. Naceri avrådde också från att inaktivera CLFS-autentisering som en tillfällig lösning. En sådan åtgärd skulle ta bort det skydd som Microsoft tidigare införde mot sårbarheter kopplade till minneskorruption i samma drivrutin.

SignDrop följer på en rad Windows-sårbarheter som Naceri har offentliggjort sedan april, inklusive säkerhetsbrister i Microsoft Defender och BitLocker. Microsoft har sedan dess åtgärdat flera av dessa problem, däribland ShieldBreak, RoguePlanet och YellowKey.