Falha 'SignDrop' no Windows permite escalonamento de privilégios

Uma falha de segurança crítica, batizada de "SignDrop", foi descoberta no Windows. Ela permite que um usuário comum, explorando o driver do Common Log File System (CLFS), obtenha privilégios máximos do sistema, transformando um recurso de proteção contra invasões em uma porta de entrada para controle total da máquina. A vulnerabilidade é considerada "zero-day", pois era desconhecida pelo desenvolvedor.

A falha foi divulgada publicamente no GitHub por um pesquisador sob o pseudônimo MSNightmare. O problema reside em um erro lógico na forma como o driver CLFS, responsável por gerenciar registros e históricos do sistema em modo kernel, lida com arquivos de registro. Embora a Microsoft tenha implementado verificações de segurança baseadas em código de autenticação de mensagem (HMAC) para proteger contra ataques de ransomware, o pesquisador descobriu uma brecha conceitual.

Validação e Impacto em Ambientes Corporativos

A vulnerabilidade permite que, quando um processo privilegiado abre um registro preparado por um usuário comum, o driver crie um documento complementar de recuperação (".cnpf") que herda permissões vulneráveis. Isso possibilita que um invasor escreva nesse arquivo e encadeie o acesso para assumir o controle total da máquina.

Especialistas em segurança confirmaram a eficácia do código. Sungyup Nam, chefe de pesquisa da 78researchlab, relatou que a exploração funciona, mas ainda não possui estabilidade suficiente para uso operacional em larga escala e exige que o Windows Defender esteja ativado. Ele destacou que o sistema confia na identidade do processo sem verificar quem definiu o caminho do arquivo e quem realizou a escrita.

A vulnerabilidade afeta sistemas como o Windows 11 e o Windows Server em configurações padrão, especialmente quando a autenticação do CLFS opera nos modos de fiscalização ou aprendizado.

Caminhos para Mitigação e Próximos Passos

Até o momento, a Microsoft não confirmou formalmente a falha, não atribuiu um identificador CVV e não disponibilizou uma correção oficial. A orientação para administradores de redes corporativas e equipes de segurança é monitorar rigorosamente os registros do sistema e as diretrizes de atualização para identificar possíveis sinais de comprometimento, pois o uso da ferramenta de exploração altera o comportamento das telas de comando.

Especialistas alertam que desativar a proteção pelo registro da máquina não é uma solução recomendada, pois isso reexporia os computadores a dezenas de falhas antigas com histórico de exploração ativa. Como a Microsoft ainda não liberou um boletim oficial de correção, a recomendação é manter um monitoramento rigoroso de endpoints e verificar a integridade das configurações do sistema operacional.