Windows'ta yeni "SignDrop" zero-day iddiası: CLFS korumasını aşarak SYSTEM yetkisi verdiği öne sürülüyor, patch yok

Bu yıl Windows Defender, BitLocker ve çekirdek bileşenlerinde art arda zero-day yayımlayan ve kendini eski Microsoft çalışanı olarak tanıtan araştırmacı, Kasım Patch Tuesday'inin hemen ardından "SignDrop" adını verdiği yeni bir exploit'i herkese açık paylaştı. BleepingComputer'ın 12 Kasım tarihli haberine göre exploit, Windows'un Common Log File System (CLFS) sürücüsüne yönelik saldırıları engellemek için Microsoft'un Ekim 2025'te getirdiği kimlik doğrulama korumasını hedef alıyor.

Araştırmacının iddiasına göre CLFS, yeni bir log dosyası oluşturulurken yanına bir doğrulama dosyası (.cnpf) yazıyor. İlk erişim kontrolleri doğru yapılsa da bu dosya daha sonra yetkili başka bir süreç tarafından açıldığında mantık kötüye kullanılabiliyor ve standart bir kullanıcı SYSTEM yetkisi alabiliyor. Araştırmacı ayrıca exploit'in antimalware tamper protection'ı aşıp EDR ürünlerini kapatabildiğini öne sürüyor. Bu iddialar bağımsız olarak doğrulanmadı; Microsoft bir açıklama yapmadı, CVE kimliği atanmadı, patch yok. Sahada istismar bildirimi de yok. Ancak exploit kodu herkese açık olduğu için bu durumun hızla değişebileceği unutulmamalı. SiberMagazin exploit'i test etmedi.

Etkilenen ve düzeltilmiş sürümler | Ürün | Etkilenen | Düzeltilmiş sürüm | |---|---|---| | Windows 11 | Araştırmacının test ettiği: 26H2 ve 26H2 Experimental | Yok (patch yayımlanmadı) | | Windows Server 2025 | Araştırmacının test ettiği: Experimental derleme | Yok (patch yayımlanmadı) |

Araştırmacı Windows kurulumlarının yaklaşık yüzde 80'inin etkilendiğini, ancak exploit'in her makinede çalışmadığını söylüyor. Kesin etkilenen sürüm listesi için Microsoft'un MSRC Security Update Guide sayfası takip edilmeli; şu an orada bu açığa ait bir kayıt yok.

Beni etkiliyor mu? Bu exploit uzaktan değil, sisteme zaten standart kullanıcı olarak girmiş birinin yetkisini yükseltmek için kullanılıyor. Araştırmacıya göre CLFS doğrulama modunun değeri belirleyici: kayıt defterindeki değer 0 ya da 1 (learning ya da enforcement modu) ise sistem etkileniyor. Değeri salt okunur olarak şöyle görebilirsiniz:

Get-ItemProperty -Path 'HKLM:\SYSTEM\CurrentControlSet\Services\CLFS\Authentication' -Name Mode

Bu kontrol araştırmacının iddiasına dayanıyor; Microsoft tarafından doğrulanmış bir ölçüt değil. Exploit kodunu üretim sistemlerinde "test için" çalıştırmayın.

Ne yapılmalı? 1. Microsoft'un MSRC sayfasını ve aralık güncellemelerini takip edin; patch çıktığında öncelikli olarak uygulayın. Araştırmacıya göre şu an patch dışında bir çözüm yok. 2. CLFS korumasını kapatmayın. Araştırmacı da bunun makineleri eski bellek bozulması (memory corruption) saldırılarına açacağını belirtiyor. 3. Yetki yükseltme exploit'leri genellikle ilk erişimden sonra kullanılır: phishing, çalınan parola ve remote access araçlarıyla girişe karşı MFA ve yerel yönetici hakkı kısıtlamalarını gözden geçirin. 4. EDR'da standart kullanıcı oturumundan doğan SYSTEM süreçlerini, CLFS log dosyası (.blf) ve .cnpf dosyası oluşturma etkinliklerini ve güvenlik ürünlerinin beklenmedik şekilde durmasını izleyin. 5. Aynı araştırmacının önceki exploit'leri patch'lerin ardından hızla saldırgan araç setlerine girebiliyor; bu açığı change management takviminde "patch bekleniyor" olarak işaretleyin.