Microsoft 0-dags sårbarhed offentliggjort

En 0-dags sårbarhed, som er døbt #signdrop, er blevet frigivet til offentligheden. Det sker uheldigvis lige efter Microsofts tirsdag-patch dag, og et større pågående nedbrud i flere af Microsofts centrale Office365 tjenester.

SignDrop er en decideret 0-sårbarhed i Microsoft Windows CLFS driver, der muliggør, at en bruger, der i en almindelig begrænset brugerrestriktion (user), kan elevatere rettigheder til SYSTEM. Der er ingen patch, og sårbarheden har endnu ikke fået tildelt et CVE-ID.
 
I kølvandet på Microsoft patch-tirsdag i denne uge, postede en person med synonymet "MSNightmare" detaljer om en alvorlig rettighedseskaleringsfejl i Common Log File System (CLFS) driver, clfs.sys (se link i bunden).

En 0-dag i en sikkerhedsmekanisme 
Fejlen er ironisk nok introduceret i en sikkerhedsfeature, som blev rullet ud for lidt mere end et år siden (d. 28. oktober 2025). Funktionen fungerer ved at Windows signerer CLFS-logfiler med autentificeringskoder, så driveren kan afvise filer, der er blevet modificeret eller ændret af noget andet. Microsoft tilføjede denne funktion idet trusselsaktører i stigende grad misbrugte sårbarheder i CLFS-parsing til at opnå udvidede rettigheder. En teknik også misbrugt i relation til ransomware hændelser.

Sårbarheden kan udløses i miljøer hvor Microsoft CLFS Authentication Mitigation i Windows) har været aktiv i mere end 90 dage. Det vil omfatte en overvældende andel af Microsoft Windows installationer (https://support.microsoft.com/en-us/servicing/os/windows/2025/03/common-log-file-system-clfs-authentication-mitigation).

Løsning?
Der er endnu ingen fejlrettelse tilgængelig fra Microsoft. Begræns derfor initielle adgange og monitorer miljøet igennem endpoint løsninger m.v. Det er teknisk muligt at fjerne angrebsfladen via registreringsdatabasen, men det anbefales ikke, da det introducerer flere og ældre kendte angrebsmetoder.

Overvåg processer og logfiler. Hold øje med mistænkelig adfærd omkring .cnpf-godkendelsesfiler og forsøg på at tvinge sikkerhedsprocesser (som antivirus eller EDR) til at åbne ukendte logfiler

Yderligere oplysninger og PoC:
https://github.com/MSNightmare/SignDrop/commit/f9abe1e5cfe86204cd71c7a030eaf284e76994cf