В Windows нашли уязвимость нулевого дня SignDrop. Она позволяет локальному пользователю с обычными правами поднять привилегии до SYSTEM. Атака использует логику защитного компонента, который Microsoft добавила против прежних атак на драйвер CLFS.
Владислав Шелепов, аналитик угроз GSOC «Газинформсервиса», отметил: уязвимость
возникла в механизме, созданном для защиты от других атак на CLFS.
Злоумышленники могут применять её после первоначального заражения машины, чтобы
получить более высокие привилегии. Другие уязвимости CLFS уже использовались в
реальных атаках, включая шифровальщики.
«Массовой эксплуатации SignDrop пока нет. Публичный эксплойт появился 10
ноября, подтвержденных случаев использования злоумышленниками нет. Но после
публикации кода можно ждать попыток адаптировать его для атак», —
подчеркнул Владислав Шелепов.
Для версий Windows, затронутых уязвимостями, исправления от Microsoft пока нет.
Эксперт GSOC рекомендовал проверить настройки CLFS и следить за событиями
повышения привилегий на рабочих станциях и серверах. Отключать механизм защиты
CLFS как временную меру не стоит: он закрывает ранее найденные уязвимости, и
его отключение вернёт возможность их эксплуатации.
