ثغرة SignDrop يوم-صفر في Windows CLFS تمنح صلاحيات SYSTEM

نشر باحث يكتب باسم MSNightmare كود استغلال (PoC) وشرحاً مفصلاً على GitHub يوم الثلاثاء، وهو اليوم نفسه الذي أصدرت فيه Microsoft تحديثات نوفمبر. ويستهدف الاستغلال مشغّل Common Log File System (CLFS)، نظام السجلات المدمج في Windows.

خلفية

في أكتوبر 2025 أضافت Microsoft فحص مصادقة لملفات سجلات CLFS في Windows 11 25H2 و26H1 وWindows Server 2025، للحد من ثغرات المشغّل المتكررة. ويضم كتالوج CISA للثغرات المستغلة 10 ثغرات في CLFS، منها ثغرة استُخدمت في حملات ransomware في أبريل 2025.

كيف يعمل SignDrop؟

الفكرة أن الحماية الجديدة نفسها صارت نقطة الهجوم. يجهّز المستخدم العادي ملف سجل بمسارات يتحكم بها، وعندما تفتحه عملية مميزة ينشئ المشغّل ملفاً مرافقاً بامتداد .cnpf بصلاحيات تلك العملية. ثم يعيد المهاجم توجيه إنشاء الملف عبر Symbolic Links إلى مكان يختاره، فيحصل على ملف أنشأه SYSTEM ويستطيع الكتابة فيه. وفي الكود المنشور كانت العملية المميزة هي خدمة Defender. ويقول الباحث إن هذا يمكن ربطه للحصول على SYSTEM shell.

من المتأثر؟

اختُبر الاستغلال على Windows 11 26H2 ونسخ تجريبية من Windows Server 2025. وتتأثر الأنظمة التي يكون فيها وضع مصادقة CLFS على 0 (إلزامي) أو 1 (تعلّم)، وهو الإعداد الافتراضي في الأنظمة المثبتة منذ أكثر من 90 يوماً.

ماذا تفعل؟

• افحص القيمة Mode في المسار HKLM\SYSTEM\CurrentControlSet\Services\CLFS\Authentication.
• لا تعطّل الحماية، فتعطيلها يعيد ثغرات أخطر بحسب Microsoft والباحث نفسه.
• راقب استدعاءات غير معتادة لخدمة Defender من حسابات عادية، وانتظر إصلاح Microsoft.