Windows新零日漏洞SignDrop：攻击者可获取SYSTEM系统权限

原创

网络安全9527
网络安全9527

安全圈的那点事儿

2026年11月12日 15:23
北京

去阅读

一位名为MSNightmare（也叫Chaotic Eclipse）的研究人员，在GitHub上公布了Windows未打补丁零日漏洞SignDrop的可运行概念验证利用代码。该漏洞滥用通用日志文件系统驱动程序 clfs.sys ，可以将普通用户账号权限提升至NT AUTHORITY\SYSTEM（系统最高权限）。

该POC（概念验证代码）于11月10日发布，恰好是微软月度补丁更新的同一天。截至11月11日，该漏洞尚未分配CVE编号、没有官方安全公告，也没有补丁程序。微软尚未确认该漏洞相关描述，同时暂未收到野外实际利用该漏洞的报告。

Windows全新SignDrop零日漏洞

长期以来，通用日志文件系统（CLFS）一直是权限提升漏洞的热门攻击目标。典型案例包括CVE‑2025‑29824零日漏洞，该漏洞曾在被修复前就已经被真实攻击所利用。微软在2025年10月28日后推送的Windows11 25H2与Windows Server2025更新中，新增了一项身份验证缓解防护措施。

该防护会为CLFS日志文件增加基于哈希的消息认证码（HMAC），密钥由系统唯一值与文件内容共同生成；校验失败的日志文件，CLFS驱动将拒绝打开访问。

SignDrop漏洞正是绕过了这套安全防护机制。在创建日志时，CLFS会在日志同级目录生成 .cnpf 身份验证文件。攻击者可以调用 AddLogContainer 接口，为日志附加额外的容器对象，驱动程序会连同原始日志一并打开这些关联容器。

如果这个关联容器为空，无论是否已经存在签名文件，CLFS都会为其生成签名。如果调用进程是攻击者自身进程，该行为本身没有危害，所有文件创建都沿用调用者自身权限上下文。

风险出现在高权限进程打开这份日志的时候。研究人员通过调用 ServerMpUpdateEngineSignature ，诱导微软Defender安全程序打开该容器，再借助对象管理器符号链接篡改访问路径。

之后CLFS会以SYSTEM系统权限生成缺失的身份验证文件，并且该文件会继承攻击者可控的原始文件访问控制列表（DACL）。将上述步骤串联利用，攻击者就能拿到SYSTEM权限的命令执行环境。

该技术的影响不止于权限提升。因为文件创建行为来自杀毒引擎自身进程，内核驱动会将此操作判定为合法行为。据该漏洞研究者说明，此方法可以绕过几乎所有杀毒软件、终端检测响应（EDR）产品的自我防护与篡改保护功能。微软文档定义的篡改保护，就是用来阻止攻击者关闭安全防护组件的安全能力。

设备是否受影响，取决于注册表路径

HKLM\SYSTEM\CurrentControlSet\Services\CLFS\Authentication\Mode

内CLFS身份验证模式的值：

• 0：强制开启模式

​

• 1：学习模式

​

• 2：管理员手动禁用

​

• 3：系统自动禁用

研究人员测试发现：模式0、模式1存在漏洞；模式2、模式3不受漏洞影响。漏洞已经在Windows 11 26H2、Windows 11 26H2测试版、Windows Server2025测试版完成测试（信息来源GitHub）。该研究人员估算，大约80%的Windows设备处于暴露风险，大多是运行时长超过90天的系统；该数值仅为估算，并非实际统计数据。