Microsoft ile arasındaki açık ve kamuoyuna yansıyan anlaşmazlığı devam eden bir araştırmacı, "Nightmare Eclipse" takma adıyla bilinen ve Windows'a yönelik bir başka kritik sıfır gün açığını daha ortaya çıkardı. Bu yeni keşfedilen açık, sistemde yönetici haklarına sahip olmayan kullanıcıların, bazı Windows sürümlerinde tam "Sistem" yetkisi elde etmesine imkan tanıyor.
İncelemeler, bu güvenlik açığının "Common Log File System" (CLFS) adlı bileşende bulunduğunu gösteriyor. Microsoft'un açıklamasına göre CLFS, kullanıcı modunda veya çekirdek modunda çalışan yazılımlar tarafından kullanılan genel amaçlı bir kayıt tutma hizmeti. Güvenlik açığından faydalanan bir saldırgan, sıradan bir kullanıcı yetkisine sahip olsa bile, Windows Defender gibi ayrıcalıklı bir işlemi özel olarak hazırlanmış bir CLFS kapsayıcısını açmaya zorlayabilir. Bu durum, saldırganın ayrıcalıklarını yükselterek "Sistem" düzeyinde yetkilere sahip olmasına olanak tanıyor.
Windows'un Kendi Savunması Kendi Aleyhine İşliyor
Bu saldırı, CLFS, Windows Defender ve Windows dosya izinleri arasındaki karmaşık etkileşimden yararlanıyor. Saldırı zinciri, standart bir kullanıcı tarafından oluşturulan bir günlük dosyasını, Windows Defender'ın bir parçası olan ve antivirüs imza güncellemelerini işleyen ServerMpUpdateEngineSignature adlı meşru bir fonksiyonu çağırarak açmayı hedefliyor. Saldırgan, Windows Nesne Yöneticisi'nin sembolik bağlantılarını manipüle ederek, Defender'ın CLFS kapsayıcısını aslında antimalware motorunun güvenlik bağlamında açmasını sağlıyor. Eğer ilgili bir kimlik doğrulama dosyası eksikse, CLFS bu dosyayı Defender'ın Sistem yetkileriyle oluşturuyor. CLFS, yeni oluşturulan dosyaya orijinal dosyanın erişim kontrol listesini atadığı için, saldırgan "Sistem" yetkileriyle oluşturulan bir dosyaya erişim sağlayabiliyor ve dosya oluşturma işlemini ayrıcalık yükseltme saldırısının bir parçası olarak kötüye kullanabiliyor.
İşin ironik yanı, bu güvenlik açığının Microsoft'un Ekim 2025'te CLFS'deki diğer açıkları engellemek için getirdiği bir güvenlik önleminden kaynaklanması. Araştırmacı, bu güvenlik önleminin doğru bir şekilde zincirlendiğinde, kendisinin aleyhine kullanılarak ayrıcalıkların yükseltilebileceğini belirtiyor. Araştırmacı, Microsoft'un bu konuda mantıksal bir hata yaptığını ve bunun istismar edilmesine olanak tanıdığını ifade ediyor.
Söz konusu araştımacı, bu açığın Windows 11 26H2, Windows 11 26H2 Experimental ve Windows Server 2025 Experimental sürümlerinde çalıştığını belirtti. Sistemlerin savunmasız olup olmadığını anlamak için CLFS kimlik doğrulama modunun kontrol edilebileceği, eğer mod "öğrenme" veya "zorlama" modundaysa sistemin savunmasız olduğu ve sağlanan POC (proof-of-concept) ile bir SYSTEM kabuğunun elde edilebileceği ifade edildi. Araştırmacı, son aylarda birçok başka Windows sıfır gün açığını da yayınlamıştı.
Araştırmacılardan biri ise yaptığı açıklamada, açığı doğrulayabildiğini ve beklendiği gibi çalıştığını, ancak her Windows 11 sürümünde değil, belirli koşullarda işe yaradığını belirtti. Açığın çalışması için Windows 26H2 sürümünün ve sistemin 90 günden uzun süredir kullanımda olmasının gerektiğini ekledi. Yani yeni kurulan bir 26H2 sisteminde güncellemelerle hemen çalışmayabileceği öne sürüldü.
Bir sistemin savunmasız olması için HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesCLFSAuthenticationMode değerinin 0 veya 1 olması gerektiği ifade edildi. Araştırmacının kullandığı birçok makine arasında sadece bir tanesinin bu koşulu sağladığı belirtildi. Microsoft'un Windows güncellemelerini aşamalı olarak sunduğu göz önüne alındığında, bu sürümün ne kadar yaygın olduğu belirsizliğini koruyor. Kullanıcılar "winver" komutunu çalıştırarak sistemlerinin sürümünü kontrol edebilirler. Microsoft temsilcilerinden ise konuyla ilgili bir açıklama gelmedi.
Kaynakça: arstechnica.com
