#不满研究员公开Windows零日漏洞黑客可获系统权限#
IT时代网11月14日消息，一名心怀不满的安全研究员公开了 Windows 的一个零日漏洞利用代码，该漏洞可以让黑客获得系统的最高权限。研究人员称其为 SignDrop，利用的是 Windows 通用日志文件系统 CLFS 驱动中的逻辑缺陷。
这位以 MSNightmare 名号活动的研究员在 11 月 10 日将概念验证代码发布到 GitHub，没有走协调披露流程。该利用针对的是 clfs.sys 处理基于 HMAC 的认证文件时的逻辑问题，当特权进程打开一个经过特殊构造的日志文件时，认证文件会以系统最高权限创建，攻击者可以借此覆盖系统 DLL，在用户账户控制提示弹出时通过 DLL 侧加载获得系统级代码执行。
概念验证利用诱导微软 Defender 的特征更新接口打开恶意日志文件来完成攻击链。研究员声称该技术还可以绕过部分杀毒软件和 EDR 产品的防篡改保护，这一说法尚未得到独立验证。微软暂未确认漏洞、分配 CVE 编号或发布补丁。
受影响的是启用了 CLFS 认证缓解机制的系统，该机制自 2025 年 10 月底起在 Windows 11 和 Server 2025 的更新中推出，处于学习模式或强制模式的系统均在暴露范围内。研究员估计全球约八成 Windows 安装受影响，这一数字并未提供测算依据。目前尚无该漏洞被实际利用的报告。安全人员建议在补丁发布前保持 CLFS 认证机制开启，因为关闭该机制会让系统重新暴露于更早的 CLFS 内存破坏漏洞。