SignDrop : une faille Windows peut mener aux droits SYSTEM

Un chercheur connu sous le pseudonyme Nightmare Eclipse a divulgué SignDrop mardi, une faille qui peut permettre à un utilisateur local d’obtenir les droits SYSTEM sur certaines configurations de Windows. Ars Technica rapporte la publication d’une preuve de concept. Ars Technica (ouvre arstechnica.com dans un nouvel onglet)Aller vers arstechnica.com

Crédit : Microsoft. Provenance (ouvre learn.microsoft.com dans un nouvel onglet)Aller vers learn.microsoft.com.

Une élévation de privilèges via CLFS

SignDrop cible le Common Log File System (CLFS), le service de journalisation de Windows. Microsoft le décrit comme un système destiné aux logiciels fonctionnant en mode utilisateur ou en mode noyau. Microsoft (ouvre learn.microsoft.com dans un nouvel onglet)Aller vers learn.microsoft.com

D’après Ars Technica, l’attaque part d’un compte utilisateur ordinaire. Elle pousse Windows Defender à ouvrir un conteneur CLFS préparé par l’attaquant, en passant par une fonction légitime du moteur antivirus. Des liens symboliques manipulés conduisent ensuite Defender à traiter le fichier avec ses privilèges élevés. Si un fichier d’authentification associé manque, CLFS peut le créer avec les droits SYSTEM. La faille permet alors d’abuser de cette création de fichier pour élever les privilèges.

Le mécanisme s’appuie sur une protection que Microsoft a introduite en octobre 2025 pour renforcer l’authentification des fichiers CLFS. Nightmare Eclipse affirme que cette mesure peut être détournée dans certaines conditions. Le chercheur Will Dormann a déclaré à Ars Technica avoir reproduit l’exploit, tout en précisant qu’il ne fonctionnait pas sur toutes les versions de Windows 11.

Des conditions système précises

Ars Technica rapporte que l’exploit a fonctionné sur Windows 11 26H2, Windows 11 26H2 Experimental et Windows Server 2025 Experimental. Selon Dormann, il semble également nécessiter un système Windows 11 26H2 existant depuis plus de 90 jours : un système 26H2 récent, simplement mis à jour, ne suffit pas à faire fonctionner l’exploit.

Le paramètre de registre HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\CLFS\Authentication\Mode fait partie des vérifications rapportées. Dormann indique que les valeurs 0 ou 1 étaient présentes sur sa configuration vulnérable. Microsoft précise que le mode 1 correspond à la période d’apprentissage, durant laquelle CLFS peut ajouter automatiquement des codes d’authentification aux journaux. Après 90 jours, le pilote doit passer en mode enforcement lors de son prochain démarrage. Dans ce mode, CLFS refuse d’ouvrir les journaux dont les codes sont absents ou invalides. Microsoft (ouvre support.microsoft.com dans un nouvel onglet)Aller vers support.microsoft.com

Vérifier la configuration et la protection CLFS

Les administrateurs peuvent examiner le mode d’authentification CLFS dans le registre et vérifier la version de Windows avec la commande winver, comme le rapporte Ars Technica. La documentation de Microsoft décrit le passage automatique du mode d’apprentissage au mode enforcement, ainsi que l’utilitaire fsutil clfs authenticate : cette commande permet à un administrateur d’ajouter des codes d’authentification à un journal qui n’a pas été converti pendant la période d’adoption.

La divulgation s’accompagne donc d’une preuve de concept, mais les informations rapportées circonscrivent l’exploitation à des versions et à un état de configuration particuliers. Les entreprises concernées peuvent contrôler le mode CLFS et s’assurer que leurs journaux bénéficient de l’authentification prévue par Microsoft.