Bu hafta paylaşılan bir exploit kodu, yerel bir Windows kullanıcısının Ortak Günlük Dosyası Sistemi (CLFS) sürücüsü üzerinden SYSTEM yetkileri kazanabileceğini öne sürüyor.
SignDrop adı verilen kavram kanıtlama (PoC) çalışması, sürücüye geçen yıl eklenen bir günlük doğrulama özelliğini hedef alıyor. Yöntem, ayrıcalıklı bir işlem hazırlanmış bir günlüğü açtığında clfs.sys dosyasının nasıl yardımcı dosyalar oluşturduğunu suistimal ederek, yol yönlendirme aracılığıyla operasyonun kontrolünü ele geçiriyor. Microsoft henüz söz konusu açığı onaylamadı, bir CVE numarası atamadı veya bir yama yayınlamadı.
MSNightmare takma adıyla yayın yapan araştırmacı, kodları ve detaylı analizini Salı günü GitHub üzerinden paylaştı. Bu tarih, şirketin Kasım ayı güvenlik güncellemelerini yayınladığı günle aynıya denk geliyor.
Windows'un içine gömülü bir günlük alt sistemi olan CLFS sürücüsü, yetki yükseltme saldırılarının sık hedefi oldu. CISA'nın saldırılarda kullanıldığı bilinen açıklar kataloğunda 10 adet CLFS açığı bulunuyor; bunlardan biri Nisan 2025'teki fidye yazılımı kampanyalarında kullanılmıştı.
Microsoft, bu riski azaltmak için Ekim 2025'te yayınlanan Windows 11 25H2, 26H1 ve Windows Server 2025 güncellemeleriyle CLFS günlük dosyalarına bir kimlik doğrulama kontrolü ekledi. Bu kontrol, günlük verileri ve her makineye özgü bir anahtardan oluşan hash tabanlı bir mesaj doğrulama kodu ekliyor.
Şirketin günlük dosyası doğrulama sayfasına göre sürücü, yalnızca kendi yazdığı günlük dosyalarını ayrıştırıyor. Her günlüğün yanında kurtarma verilerini saklayan bir .cnpf dosyası bulunuyor ve bu dosya orijinaliyle aynı güvenlik öznitelikleriyle oluşturuluyor.
SignDrop, işte bu yardımcı dosyanın oluşturulma sürecini hedef alıyor. Kavram kanıtlama koduna göre, standart bir kullanıcı kendi kontrolündeki yollarla bir CLFS günlüğü ve kapsayıcısı hazırlıyor. Daha sonra ayrıcalıklı bir işlem bu günlüğü açtığında, sürücü .cnpf dosyasını kullanıcının değil, ayrıcalıklı işlemin güvenlik bağlamında oluşturuyor.
Exploit, dosya oluşturma işlemini saldırganın seçtiği bir konuma yönlendirmek için nesne yöneticisi sembolik bağlantılarını kullanıyor. Yayınlanan kodda, ayrıcalıklı işlem olarak Defender antimalware servisi kullanılmış ve işlem güncelleme arayüzü üzerinden tetiklenmiş.
Araştırmacı, Microsoft'un her şeyi doğru yaptığını ancak mantığın suistimale açık olduğunu belirtti.
.cnpf dosyası orijinal günlüğün izinlerini miras aldığı için sonuçta, standart kullanıcının yazabildiği ancak SYSTEM olarak oluşturulmuş bir dosya ortaya çıkıyor. Araştırmacı, bu durumun bir SYSTEM shell'ine dönüştürülebileceğini söylüyor.
Depodaki bilgilere göre exploit; Windows 11 26H2, Windows 11 26H2 Deneysel sürüm ve Windows Server 2025 Deneysel sürüm üzerinde test edildi. Sistemler, CLFS kimlik doğrulama kayıt defteri modu 0 (zorunlu) veya 1 (öğrenme) olarak ayarlandığında etkileniyor. 90 günden eski sistemler genellikle öğrenme modundan zorunlu moda otomatik geçtiği için, kurulu sistemlerdeki varsayılan yapılandırma bu exploitin hedefindeki ayar oluyor.
Kayıt defteri değerinin 2 veya 3 olması, önlemin devre dışı olduğu anlamına geliyor. Bu durum sistemi söz konusu saldırı yüzeyinin dışına çıkarıyor ancak hem araştırmacı hem de sürücünün kendi dokümantasyonu bunu önermiyor; çünkü özelliğin kapatılması, CLFS'nin kurcalanmış günlük dosyalarını ayrıştırmasına izin vererek korumanın önlemeye çalıştığı bellek bozulması açıklarını yeniden ortaya çıkarıyor.
Bağımsız Test
Güney Koreli güvenlik firması 78researchlab'in araştırma sorumlusu Sungyup Nam, bugün yayınladığı değerlendirmede, firmanın PurpleHound saldırı içerik ekibinden araştırmacı Heewon Song'un exploiti test ettiğini ve çalıştığını bulduğunu bildirdi. Nam, Song'un bu yöntemin operasyonel kullanım için yeterince güvenilir çalışmadığına karar verdiğini yazdı.
Yayınlanan zincirin başarılı olması için Defender'ın etkin olması gerekiyor. Exploit çalıştırıldığında her UAC istemi standart bir kullanıcı shell'i ve bir SYSTEM shell'i açacak şekilde değişiyor; bu da diğer işlemleri engelleyerek saldırının bilgisayar başındaki kişi tarafından fark edilmesine neden oluyor.
Depoda, bu tekniğin yüksek yetkilerle çalışan herhangi bir antimalware motoruna karşı çalışabileceği iddia ediliyor ancak bu geniş kapsamlı iddia henüz test edilmedi.
Savunmacılar Ne Yapabilir?
Kasım ayı güvenlik güncellemelerinde SignDrop için herhangi bir CVE, bildirim veya yama yer almadı. CISA'nın Bilinen Sömürülen Zafiyetler kataloğunda da yer almayan açıkla ilgili henüz bir saldırı rapor edilmedi.
Yöneticiler, HKLM\SYSTEM\CurrentControlSet\Services\CLFS\Authentication yolundaki CLFS kimlik doğrulama modunu kontrol ederek risk durumlarını görebilirler; burada Mode değerinin 0 veya 1 olması, araştırmacının belirttiği kapsamda olduklarını gösterir. Üreticinin önlem kılavuzu, bu ayarı ve kapatmanın risklerini açıklamaktadır.
Araştırmacı, Nisan ayından beri Windows ve Defender'ı hedef alan bir dizi exploit yayınladı. Üretici, Haziran ayında RoguePlanet adlı önceki bir Defender açığını CVE-2026-50656 olarak onayladı ve bir ay sonra yamaladı.
Ağustos ayında gelen ShieldBreak bypass'ine ise CVE-2026-69414 numarası verildi. Araştırmacının daha önceki Defender açıklarından üçü gerçek saldırılarda kullanıldı.
SignDrop ise farklı bir sınıfa giriyor. Önceki exploitler Defender'ın dosya işleme süreçlerindeki yarış durumlarını (race conditions) hedeflerken, bu açık doğrudan CLFS sürücüsünün kendi kimlik doğrulama özelliğini hedef alıyor. Yanıt için üreticinin güvenlik güncelleme kılavuzu takip edilmeli.
