Windows SignDrop 0-day漏洞曝光，可提权

安全研究人员 pseud 梦日食（Nightmare Eclipse）于周二披露了一个名为 SignDrop 的 Windows 0-day 漏洞。该漏洞允许本地攻击者在特定版本的 Windows 系统上获取全系统权限。

利用日志文件系统实现特权提升

SignDrop 漏洞存在于 Windows 常用的通用日志文件系统（CLFS）中。Microsoft 将 CLFS 描述为一项由运行在用户模式或内核模式的软件客户端使用的通用日志记录服务。

攻击机制的核心在于滥用特权文件创建功能。具有普通用户权限的攻击者可以诱导 Windows Defender 等高权限进程打开精心构造的 CLFS 容器，从而实现系统特权的提升。

让 Windows 防御机制成为攻击跳板

此次攻击巧妙地利用了 CLFS、Windows Defender 以及 Windows 文件权限之间的交互逻辑。具体而言，漏洞触发过程涉及使用 Windows Defender 打开一个由标准用户创建的日志文件。

在此过程中，攻击者调用了 ServerMpUpdateEngineSignature 函数。这是一个原本用于处理防病毒签名更新的合法 Defender 函数，但被恶意利用以绕过常规的安全限制。