Lỗ hổng SignDrop: Kẻ tấn công có thể chiếm quyền SYSTEM trên Windows
"The SignDrop zero-day exploit allows a local Windows user to gain SYSTEM privileges by abusing a log-authentication feature in the Common Log File System (CLFS) driver. The exploit targets the creation of companion files and uses path redirection to write a file as SYSTEM that a standard user can then modify. Microsoft has not yet assigned a CVE or released a patch."
Lỗ hổng SignDrop cho phép leo thang đặc quyền lên SYSTEM, tạo điều kiện cho kẻ tấn công kiểm soát hoàn toàn hệ thống. Việc khai thác có thể gây ra mất dữ liệu hoặc gián đoạn dịch vụ.
Các doanh nghiệp sử dụng Windows có thể gặp rủi ro về an ninh dữ liệu và uy tín nếu bị tấn công thông qua lỗ hổng SignDrop. Việc vá lỗi kịp thời là quan trọng để giảm thiểu rủi ro.
Microsoft chưa vá lỗ hổng SignDrop, cho phép kẻ tấn công leo thang đặc quyền lên SYSTEM trên Windows. Lỗ hổng này nằm trong driver Common Log File System (CLFS) và liên quan đến tính năng xác thực log mới được thêm vào năm ngoái.
Kỹ sư bảo mật MSNightmare đã công khai mã khai thác trên GitHub, cho thấy một người dùng Windows thông thường có thể lợi dụng cách clfs.sys tạo file companion khi một tiến trình đặc quyền mở log. Kẻ tấn công sử dụng path redirection để ghi file dưới quyền SYSTEM, sau đó sửa đổi file này. Microsoft chưa gán CVE hoặc phát hành bản vá.
CLFS là subsystem logging tích hợp trong Windows. Driver này thường xuyên bị nhắm đến để leo thang đặc quyền: 10 lỗ hổng CLFS xuất hiện trong danh mục của CISA về các lỗ hổng đã bị khai thác, bao gồm cả những lỗ hổng được sử dụng trong các chiến dịch ransomware năm 2025. Microsoft đã thêm kiểm tra xác thực vào file log CLFS để giảm thiểu rủi ro này.
Lỗ hổng SignDrop nhắm mục tiêu quá trình tạo file companion. Kẻ tấn công chuẩn bị log CLFS và container với đường dẫn do họ kiểm soát. Khi tiến trình đặc quyền mở log, driver tạo file .cnpf với quyền của tiến trình đó thay vì người dùng. Kẻ tấn công sử dụng symbolic link để chuyển hướng việc tạo file đến vị trí họ chọn. Trong mã đã công bố, tiến trình đặc quyền là dịch vụ antimalware Defender.
Sungyup Nam từ 78researchlab xác nhận lỗ hổng hoạt động, nhưng không đáng tin cậy để sử dụng trong thực tế. Việc khai thác thay đổi mọi UAC prompt thành shell người dùng thường và shell SYSTEM, làm lộ rõ cuộc tấn công. Kỹ sư MSNightmare cho rằng kỹ thuật này có thể hoạt động với bất kỳ engine antimalware nào chạy với quyền cao.
Quản trị viên có thể kiểm tra cấu hình CLFS authentication mode tại HKLM\SYSTEM\CurrentControlSet\Services\CLFS\Authentication. Giá trị Mode là 0 hoặc 1 cho thấy hệ thống dễ bị tấn công. Việc tắt tính năng này (giá trị 2 hoặc 3) không được khuyến khích vì nó có thể dẫn đến các lỗ hổng bảo mật khác.
Câu hỏi thường gặp
Lỗ hổng SignDrop ảnh hưởng đến phiên bản Windows nào?
Lỗ hổng này ảnh hưởng đến Windows 11 26H2, Windows 11 26H2 Experimental và Windows Server 2025 Experimental khi CLFS authentication mode được đặt thành 0 (enforced) hoặc 1 (learning).
CLFS authentication mode là gì?
CLFS authentication mode là một cài đặt trong Windows xác định cách hệ thống xác thực file log CLFS. Giá trị 0 hoặc 1 cho thấy hệ thống dễ bị tấn công SignDrop.
Microsoft đã phản hồi như thế nào về lỗ hổng SignDrop?
Microsoft chưa gán CVE hoặc phát hành bản vá cho lỗ hổng SignDrop. Họ đã xác nhận các lỗ hổng tương tự trước đây, như CVE-2026-50656 và CVE-2026-69414.
Góc nhìn của Orange Cloud
Theo chúng tôi, lỗ hổng SignDrop đáng chú ý vì nó nhắm mục tiêu vào một tính năng bảo mật mới của Windows thay vì một lỗi cũ. Các doanh nghiệp Việt Nam nên kiểm tra cấu hình CLFS authentication mode ngay lập tức. Điều đáng chú ý là lỗ hổng này có thể được khai thác bằng cách sử dụng Defender, một phần mềm antimalware phổ biến. Các kỹ sư nên theo dõi các bản vá bảo mật từ Microsoft.