Lỗ hổng 0-day trong Windows cho phép leo thang đặc quyền hệ thống
"A researcher known as Nightmare Eclipse disclosed 'SignDrop', a Windows zero-day vulnerability (CVE not provided) affecting CLFS. This allows local users to gain System-level privileges by exploiting interactions between CLFS, Windows Defender, and file permissions. Affected systems include Windows 11 26H2 and Windows Server 2025 Experimental; mitigation involves checking CLFS authentication mode."
Lỗ hổng cho phép leo thang đặc quyền lên System, tạo điều kiện cho tấn công sâu vào hệ thống. Việc vô hiệu hóa các giải pháp bảo mật như EDR là một rủi ro lớn.
Các doanh nghiệp có thể gặp mất mát dữ liệu hoặc gián đoạn hoạt động nếu hệ thống bị tấn công. Việc kiểm tra và vá lỗ hổng là cần thiết để giảm thiểu rủi ro.
Nghiên cứu viên có bí danh Nightmare Eclipse vừa công bố lỗ hổng 0-day trong Windows, có tên SignDrop. Lỗ hổng này ảnh hưởng đến CLFS (Common Log File System) và cho phép người dùng cục bộ có quyền hệ thống (System rights).
Đây là vấn đề đáng quan tâm với các kỹ sư và doanh nghiệp Việt Nam đang sử dụng Windows 11 26H2 hoặc Windows Server 2025 Experimental. Kẻ tấn công có thể lợi dụng tương tác giữa CLFS, Windows Defender và quyền truy cập file để leo thang đặc quyền.
Lỗ hổng này khai thác cách Windows Defender mở một file log do người dùng thông thường tạo ra. Kẻ tấn công thao túng các symbolic link của Windows Object Manager để buộc Defender mở container CLFS với quyền của antimalware engine. Nếu file xác thực liên quan bị thiếu, CLFS sẽ tạo file này bằng quyền System. Do CLFS gán ACL (Access Control List) của file gốc cho file mới, kẻ tấn công có thể truy cập file được tạo với quyền System, từ đó leo thang đặc quyền.
Đáng chú ý, lỗ hổng này xuất phát từ một biện pháp bảo mật mà Microsoft giới thiệu vào tháng 10/2025 để ngăn chặn các lỗ hổng khác trong CLFS. Nightmare Eclipse nhận xét logic của Microsoft đúng, nhưng vẫn có thể bị lạm dụng. Nghiên cứu viên này cũng cho biết lỗ hổng có thể vô hiệu hóa bất kỳ phần mềm diệt virus hoặc EDR (Endpoint Detection and Response).
Will Dormann, một nhà nghiên cứu khác, xác nhận lỗ hổng hoạt động như mô tả, nhưng không phải trên tất cả các phiên bản Windows 11. Hệ thống dễ bị tấn công nếu chế độ xác thực CLFS ở trạng thái 'learning mode' hoặc 'enforcement mode'. Bạn có thể kiểm tra bằng cách xem giá trị HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\CLFS\Authentication\Mode. Giá trị 0 hoặc 1 cho thấy hệ thống dễ bị tấn công. https://arstechnica.com/security/2026/11/13/windows-0-day-dropped-by-disgruntled-researcher-hands-hackers-system-rights/
Câu hỏi thường gặp
Lỗ hổng SignDrop ảnh hưởng đến hệ điều hành nào?
Lỗ hổng này ảnh hưởng đến Windows 11 26H2, Windows 11 26H2 Experimental và Windows Server 2025 Experimental. Các phiên bản khác có thể không bị ảnh hưởng.
Làm thế nào để kiểm tra xem hệ thống có dễ bị tấn công không?
Bạn cần kiểm tra giá trị của HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\CLFS\Authentication\Mode. Nếu giá trị là 0 hoặc 1, hệ thống dễ bị tấn công.
Lỗ hổng này hoạt động như thế nào?
Kẻ tấn công lợi dụng tương tác giữa CLFS, Windows Defender và quyền truy cập file để leo thang đặc quyền. Cụ thể, họ thao túng symbolic link để buộc Defender mở container CLFS với quyền System.
Góc nhìn của Orange Cloud
Theo chúng tôi, lỗ hổng này đặc biệt đáng chú ý vì nó cho phép vô hiệu hóa các giải pháp bảo mật như antivirus và EDR. Các doanh nghiệp Việt Nam nên kiểm tra cấu hình CLFS của họ và cân nhắc cập nhật hệ thống nếu có bản vá. Hiện tại, việc xác định xem hệ thống có dễ bị tấn công hay không là bước quan trọng nhất.