Bir araştırmacı, Microsoft ile olan tartışmaları devam ederken Windows işletim sistemi için yeni bir sıfır gün açığını açıkladı. “Nightmare Eclipse” takma adını kullanan bu kişi, Salı günü SignDrop adındaki açığı duyurdu. Bu güvenlik açığı, bazı Windows sürümlerinde yerel kullanıcılara tam sistem hakları sağlıyor.
Açığın, Microsoft’un “kullanıcı modu veya çekirdek modda çalışan yazılım istemcileri için genel amaçlı bir günlükleme hizmeti” olarak tanımladığı Common Log File System (CLFS) içinde bulunduğu belirtiliyor. Saldırgan, Windows Defender gibi ayrıcalıklı bir süreci, özel olarak hazırlanmış bir CLFS konteynerini açmaya zorlayarak, sıradan kullanıcı haklarına sahip olsa bile sistem haklarına yükselme imkanı bulabiliyor.
Saldırı, CLFS, Windows Defender ve Windows dosya izinlerinin etkileşimini istismar ediyor. Saldırgan, standart bir kullanıcı tarafından oluşturulan bir günlük dosyasını açmak için Windows Defender’ın, antivirüs imza güncellemelerini işlemek için kullanılan ServerMpUpdateEngineSignature fonksiyonunu çağırmasını sağlıyor.