Contexte et découverte
Le chercheur connu sous le pseudonyme Nightmare Eclipse a publié le 5 novembre 2026 une vulnérabilité baptisée SignDrop. Cette faille affecte plusieurs versions de Windows et permet à un utilisateur disposant uniquement de droits standards d’obtenir le niveau de privilège System. La faille réside dans le Common Log File System (CLFS), service de journalisation décrit par Microsoft comme « general‑purpose logging service used by software clients running in user‑mode or kernel‑mode ». La divulgation intervient dans le cadre d’un différend public entre le chercheur et Microsoft.
Mécanisme d’exploitation
SignDrop exploite l’interaction entre CLFS, Windows Defender et le gestionnaire d’objets Windows. L’attaquant crée un conteneur CLFS contenant un fichier journal accessible en écriture par l’utilisateur. Il invoque ensuite la fonction légitime ServerMpUpdateEngineSignature de Windows Defender, destinée à traiter les mises à jour de signatures antivirus. Cette fonction ouvre le conteneur CLFS dans le contexte de sécurité du moteur antimalware, c’est‑à‑dire avec les privilèges System.
En manipulant les liens symboliques du Object Manager, l’attaquant force Defender à créer un fichier d’authentification manquant. CLFS, conformément à sa logique interne, génère alors ce fichier en utilisant les privilèges du processus appelant (Defender). Le nouveau fichier hérite de la Discretionary Access Control List (DACL) du fichier d’origine, qui appartient à l’utilisateur ordinaire. Ainsi, l’attaquant récupère un objet créé avec les droits System mais dont la DACL lui accorde l’accès, réalisant ainsi une élévation de privilèges.
Analyse des impacts et limites
Le vecteur d’attaque repose exclusivement sur des appels d’API légitimes et ne nécessite aucun code injecté dans le noyau. La chaîne d’exploitation est donc difficile à détecter par les solutions de prévention d’intrusion basées sur le comportement, car chaque étape est autorisée par le système. La dépendance à Windows Defender signifie que la vulnérabilité ne s’exprime que sur les machines où le service est actif et où le composant ServerMpUpdateEngineSignature est présent, ce qui limite la portée à des configurations standards de Windows 10/11 et aux versions serveur correspondantes.
Ironiquement, la logique de mitigation introduite par Microsoft en octobre 2025 – destinée à empêcher l’exploitation d’autres failles CLFS – crée le scénario où l’absence d’un fichier d’authentification déclenche la création d’un nouveau fichier avec des privilèges élevés. Cette rétro‑effet montre la difficulté de concevoir des contre‑mesures qui ne puissent pas être détournées. À ce jour, Microsoft n’a pas publié de correctif ; la mitigation temporaire consiste à restreindre les permissions du répertoire contenant les conteneurs CLFS ou à désactiver le service de mise à jour de signatures si cela est compatible avec la politique de sécurité de l’organisation.
