Yeni SignDrop Zero-Day Açığı, Windows CLFS Güvenlik Özelliğini SYSTEM Erişime Dönüştürüyor

Yeni SignDrop Zero-Day Açığı, Windows CLFS Güvenlik Özelliğini SYSTEM Erişime Dönüştürüyor

Bu hafta başında yayınlanan halka açık bir istismar kodu, yerel bir Windows kullanıcısının Ortak Günlük Dosya Sistemi (CLFS) sürücüsü aracılığıyla SYSTEM ayrıcalıkları elde edebileceğini iddia ediyor.

SignDrop adı verilen kavram kanıtlama (proof of concept) kodu, geçen yıl sürücüye eklenen bir günlük kimlik doğrulama özelliğini hedef alıyor. Bu açık, clfs.sys’in ayrıcalıklı bir işlem hazırlanmış bir günlüğü açtığında yardımcı dosyaları nasıl oluşturduğunu kötüye kullanarak, işlem üzerinde kontrol sağlamak için yol yönlendirmeyi kullanıyor. Microsoft, iddia edilen bu güvenlik açığını henüz doğrulamadı, bir CVE ataması yapmadı veya bir düzeltme yayınlamadı.

İstismarın arkasındaki araştırmacı, MSNightmare adıyla yayın yapan kişi, kodu ve ayrıntılı bir açıklamasını Salı günü GitHub’da yayınladı. Bu tarih, şirketin Kasım güvenlik güncellemelerini yayınladığı günle aynı zamana denk geliyor.

CLFS ve Güvenlik Açıkları

CLFS, Windows’a yerleşik bir günlükleme alt sistemidir. Sürücüsü, ayrıcalık yükseltme için sıkça hedef alınmıştır: CISA’nın saldırılarda istismar edildiği bilinen güvenlik açıkları kataloğunda 10 CLFS hatası bulunuyor. Bunlardan biri, Nisan 2025’teki fidye yazılımı kampanyalarında kullanılmıştı.

Bu riskleri azaltmak amacıyla Microsoft, Ekim 2025’te yayınlanan Windows 11 25H2, 26H1 ve Windows Server 2025 güncellemelerinde CLFS günlük dosyalarına bir kimlik doğrulama kontrolü ekledi. Bu kontrol, günlük verilerinden ve her makineye özgü bir anahtardan oluşturulan karma tabanlı bir mesaj kimlik doğrulama kodu (HMAC) ekler.

Sürücü daha sonra yalnızca kendisinin yazdığı günlük dosyalarını ayrıştırır. Şirketin günlük dosyası kimlik doğrulaması sayfasına göre, her günlüğün yanında kurtarma verilerini depolayan bir .cnpf yardımcı dosyası oluşturulur ve bu dosya orijinaliyle aynı güvenlik niteliklerine sahiptir.

SignDrop Nasıl Çalışır?

SignDrop, bu yardımcı dosyanın oluşturulmasını hedef alır. Kavram kanıtlama koduna göre, standart bir kullanıcı, kendi kontrol ettiği yollarla bir CLFS günlüğü ve kapsayıcı hazırlar. Ayrıcalıklı bir işlem daha sonra bu günlüğü açtığında, sürücü .cnpf dosyasını kullanıcının güvenlik bağlamı yerine ayrıcalıklı işlemin güvenlik bağlamında oluşturur.

İstismar, bu dosya oluşturmayı saldırganın seçtiği bir konuma yönlendirmek için nesne yöneticisi sembolik bağlantılarını kullanır. Yayınlanan kodda, ayrıcalıklı işlem, Defender antivirüs hizmetidir ve güncelleme arayüzü aracılığıyla tetiklenir.

Araştırmacı, “Burada her şey Microsoft tarafından düzgün bir şekilde yapılmış, ancak mantık kötüye kullanıma izin veriyor” diye yazdı.

Çünkü .cnpf dosyası orijinal günlüğün izinlerini devralır, sonuç olarak standart kullanıcının yazabileceği, SYSTEM olarak oluşturulmuş bir dosya ortaya çıkar. Araştırmacı, bunun bir SYSTEM kabuğuna zincirlenebileceğini belirtiyor.

Depoya göre istismar, Windows 11 26H2, bir Windows 11 26H2 Deneysel yapısı ve Windows Server 2025 Deneysel üzerinde test edildi. CLFS kimlik doğrulama kayıt defteri modu 0 (uygulanıyor) veya 1 (öğrenme) olarak ayarlandığında sistemler etkilenir. 90 günden eski sistemler genellikle otomatik olarak öğrenmeden uygulamaya geçer, bu nedenle yerleşik kurulumlardaki varsayılan yapılandırma, istismarın hedeflediği yapılandırmadır.

Kayıt defteri değeri 2 veya 3, azaltmanın devre dışı bırakıldığı anlamına gelir. Bu, sistemi iddia edilen saldırı yüzeyinin dışına çıkarır, ancak araştırmacı ve sürücünün kendi belgeleri buna karşı uyarıyor: devre dışı bırakma, CLFS’nin kurcalanmış günlük dosyalarını ayrıştırmasına izin vererek, korumanın önlemek için oluşturulduğu bellek bozulması hatalarını yeniden açar.

Bağımsız Test ve Savunma Önlemleri

Bağımsız Test Sonuçları

Koreli güvenlik firması 78researchlab’ın araştırma başkanı Sungyup Nam, bugün yayınladığı bir değerlendirmede, firmanın PurpleHound saldırı içerik ekibinden araştırmacı Heewon Song’un istismarı test ettiğini ve çalıştığını bildirdi. Song, operasyonel kullanım için yeterince güvenilir çalışmadığını değerlendirdi, diye yazdı Nam.

Yayınlanan zincirin başarılı olması için Defender’ın etkinleştirilmesi gerekir. İstismarı çalıştırmak, her UAC istemini standart bir kullanıcı kabuğu ve bir SYSTEM kabuğu açacak şekilde değiştirir, diğer eylemleri engeller ve saldırıyı makinedeki herkes için fark edilebilir hale getirir.

Depo, tekniğin ayrıcalıklı izinlerle çalışan herhangi bir antivirüs motoruna karşı işe yarayabileceğini iddia ediyor. Bu daha geniş iddia henüz test edilmedi.

Savunmacılar Ne Yapabilir?

Kasım güvenlik güncellemelerinde SignDrop için herhangi bir CVE, danışma veya yama yayınlanmadı. CISA Bilinen İstismar Edilen Güvenlik Açıkları kataloğunda listelenmiyor ve istismarı kullanan herhangi bir saldırı bildirilmedi.

Yöneticiler, HKLM\SYSTEM\CurrentControlSet\Services\CLFS\Authentication adresindeki CLFS kimlik doğrulama modunu okuyarak maruziyetlerini kontrol edebilirler. Burada Mode değeri 0 veya 1, araştırmacının iddia ettiği kapsamdadır. Satıcının azaltma rehberliği, ayarı ve devre dışı bırakma risklerini açıklar.

Araştırmacı, Nisan ayından bu yana Windows ve Defender’ı hedef alan bir dizi istismar yayınladı. Satıcı, Haziran ayında RoguePlanet adlı daha önceki bir Defender istismarını CVE-2026-50656 olarak doğruladı ve ertesi ay yamaladı.

ShieldBreak atlatması Ağustos ayında takip etti ve CVE-2026-69414 olarak atandı. Araştırmacının daha önceki üç Defender hatası saldırılarda istismar edildi.

SignDrop farklı bir sorun sınıfıdır. Daha önceki istismarlar Defender’ın dosya işleme süreçlerindeki yarış koşullarını hedeflerken, bu istismar CLFS sürücüsünün kendi kimlik doğrulama özelliğini hedef alıyor. Satıcının güvenlik güncelleme rehberi, bir yanıt için takip edilmesi gereken yerdir.