Seorang peneliti keamanan siber yang menggunakan nama samaran Nightmare Eclipse kembali merilis kerentanan zero-day baru pada sistem operasi Windows. Kerentanan yang diberi nama SignDrop ini diungkapkan pada hari Selasa dan memberikan hak akses System sepenuhnya kepada pengguna lokal pada beberapa versi Windows.
Cara Kerja Kerentanan SignDrop
Kerentanan tersebut terletak di dalam Common Log File System (CLFS) yang didefinisikan oleh Microsoft sebagai layanan pencatatan tujuan umum yang dipakai oleh klien perangkat lunak dalam mode pengguna atau mode kernel. Dengan memaksa proses berhak istimewa seperti Windows Defender untuk membuka kontainer CLFS yang telah dimodifikasi, penyerang dengan hak pengguna biasa dapat memanfaatkan pembuatan berkas istimewa tersebut untuk meningkatkan hak akses menjadi System.
Serangan ini mengeksploitasi interaksi antara CLFS, Windows Defender, dan izin berkas Windows. Eksploitasi ini memanfaatkan Windows Defender untuk membuka berkas log yang dibuat oleh pengguna standar melalui pemanggilan fungsi sah Defender untuk memproses pembaruan tanda tangan antivirus.
Melalui manipulasi tautan simbolis Windows Object Manager, penyerang membuat Defender membuka kontainer CLFS dalam konteks keamanan mesin antimalware. Apabila berkas autentikasi terkait tidak ditemukan, CLFS akan membuatnya dengan menggunakan hak istimewa System milik Defender.
Karena CLFS menetapkan Daftar Kontrol Akses Diskresi dari berkas asli ke berkas yang baru dibuat, penyerang dapat memperoleh akses ke berkas tersebut. Hal ini memungkinkan operasi pembuatan berkas disalahgunakan sebagai bagian dari serangan eskalasi hak istimewa.
Berasal dari Mitigasi Keamanan Microsoft
Kerentanan ini justru berasal dari langkah pengamanan yang diperkenalkan Microsoft pada bulan Oktober 2025 untuk mencegah penyerang memanfaatkan kerentanan lain di dalam CLFS.
Peneliti Nightmare Eclipse menyatakan bahwa mitigasi keamanan yang sah tersebut justru dapat berbalik digunakan untuk melawan sistem itu sendiri dan memungkinkan terjadinya eskalasi hak akses jika seluruh tahapan dirangkai dengan benar. Menurutnya, seluruh prosedur telah dikerjakan dengan semestinya oleh Microsoft, namun logika sistem yang ada tetap membuka celah untuk disalahgunakan.
Sumber: Ars Technica
