SignDrop: verejný PoC cieli na CLFS vo Windowse, Microsoft zatiaľ nevydal opravu
Verejne dostupný projekt SignDrop deklaruje lokálne zvýšenie oprávnení cez mechanizmus CLFS vo Windowse. Microsoft k 13. novembru 2026 nezverejnil CVE, upozornenie ani opravu.
Projekt SignDrop CLFS, zverejnený v repozitári GitHub účtu MSNightmare, deklaruje lokálne zvýšenie oprávnení vo Windowse cez Common Log File System (CLFS) a Microsoft Defender. Autor ho označuje ako „Windows Common Log FileSystem Authentication 0day Local Privilege Escalation Vulnerability“. Microsoft k 13. novembru 2026 k prípadu nezverejnil CVE, bezpečnostné upozornenie ani opravu.
Nejde o potvrdený vzdialený spôsob preniknutia do zariadenia. Ak by sa deklarované správanie PoC potvrdilo, útočník by najprv potreboval možnosť spustiť kód v systéme ako bežný lokálny používateľ. Následne by mohol zvýšiť oprávnenia na účet NT AUTHORITY\SYSTEM.
Čo deklaruje SignDrop CLFS
Zdrojový kód projektu je verejne dostupný na GitHube. Podľa SecurityWeek PoC skompilovala a testovala spoločnosť Cyderes. K 13. novembru 2026 však neexistovali dôkazy, že by bol SignDrop použitý v reálnych útokoch.
Technický mechanizmus ani úspešné získanie práv SYSTEM zatiaľ Microsoft verejne nepotvrdil. Informácie o fungovaní exploitu preto vychádzajú predovšetkým z tvrdení autora PoC a zo sekundárneho opisu jeho testovania. Nezávislé reprodukcie na podporovaných vydaniach Windows zatiaľ neboli v dostupných podkladoch potvrdené.
Autor zároveň odhaduje, že zraniteľných môže byť približne 80 % inštalácií Windows alebo všetky systémy aktualizované pred viac než 90 dňami. Tento odhad nie je nezávisle doložený a nemožno ho považovať za potvrdený rozsah ohrozenia.
CLFS autentifikácia a súbory .cnpf
CLFS je mechanizmus Windows určený na prácu s protokolovými súbormi. Microsoft v dokumentácii uvádza, že autentifikácia logfile používa HMAC a vytvára sprievodný súbor s príponou .cnpf. Konfiguračné režimy v registri môžu určovať vynútenie ochrany, režim učenia alebo jej vypnutie.
SignDrop cieli práve na tento ochranný mechanizmus integrity logov. Pre SignDrop zatiaľ nie je známy oficiálny workaround ani oprava.
Čo majú správcovia sledovať
Keďže ide o údajné lokálne zvýšenie oprávnení, relevantný je najmä kontext, v ktorom už niekto získal možnosť spúšťať kód na zariadení. Organizácie by mali sledovať vyjadrenia Microsoftu a prípadné vydanie CVE, opravy alebo mitigácie.
- pridelenie CVE a bezpečnostné odporúčanie od Microsoftu,
- nezávislé reprodukcie PoC na podporovaných verziách Windows,
- dôveryhodné informácie o prípadnom zneužití v reálnych útokoch,
- zmeny v detekciách Microsoft Defender a odporúčania pre podnikové prostredia.
Do vydania oficiálneho stanoviska zostáva rozsah a praktická spoľahlivosť SignDropu nejasná. Potvrdené je verejné zverejnenie zdrojového kódu a skutočnosť, že Microsoft zatiaľ nepublikoval opravu ani upozornenie viazané na tento projekt.
Zdroje
- GitHub – MSNightmare/SignDrop – Potvrdzuje verejné zverejnenie projektu SignDrop a autorovo označenie PoC ako lokálneho zvýšenia oprávnení v CLFS.
- Microsoft Learn – CLFS logfile authentication – Potvrdzuje fungovanie CLFS autentifikácie, súbory .cnpf a režimy konfigurácie ochrany.
- SecurityWeek – Koroboruje popis verejného PoC, uvádza testovanie Cyderes a absenciu dôkazov o zneužití vo voľnej prírode.
Overené a aktualizované: 13. 11. 2026 15:23
