Windows CLFS Açığı ile SYSTEM Erişimi Sağlandı

Microsoft’un Windows işletim sistemlerinde sıkça güvenlik açıklarının hedefi olan Common Log File System (CLFS) sürücüsü, yeni keşfedilen bir mantık hatasıyla yeniden gündemde. MSNightmare takma adını kullanan bir güvenlik araştırmacısı, standart Windows kullanıcılarının CLFS sürücüsü üzerinden en yüksek ayrıcalık seviyesi olan SYSTEM erişimi kazanmasını sağlayan SignDrop adlı bir sıfır gün (zero-day) açığını kamuoyuna duyurdu.

Geçtiğimiz Salı günü Microsoft’un Kasım ayı güvenlik güncellemelerini yayınladığı gün ortaya çıkan bu açık, şirketin CLFS sürücüsünü korumak için geçtiğimiz yıl sisteme entegre ettiği günlük kimlik doğrulama mekanizmasını hedef alıyor. Araştırmacının GitHub üzerinden paylaştığı detaylı rapora göre, sürücünün normal çalışma mantığı istismar edilerek dosya yolları yönlendiriliyor ve ayrıcalıklı süreçler manipüle ediliyor.

SignDrop Açığı Windows Sistemlerde Nasıl Çalışıyor?

SignDrop, CLFS sürücüsünün log dosyaları açıldığında arka planda oluşturduğu yardımcı .cnpf dosyalarının yaratılış mekanizmasındaki mantıksal zafiyetten besleniyor. Şirketin kendi belgelerine göre bu dosyalar, orijinal log dosyasıyla aynı güvenlik özniteliklerine sahip olacak şekilde tasarlanmıştır. Ancak hazırlanan özel bir senaryoda standart bir kullanıcı CLFS log dosyasını manipüle ettiğinde, ayrıcalıklı bir süreç bu dosyayı açtığı sırada sürücü yardımcı dosyayı kullanıcının değil, ayrıcalıklı sürecin güvenlik bağlamında oluşturuyor.

Yayınlanan kavram kanıtı (proof of concept) kodunda bu ayrıcalıklı sürecin, güncelleme arayüzü tetiklenen Defender kötü amaçlı yazılımdan koruma servisi olduğu belirtiliyor. Nesne yöneticisi sembolik bağlantıları kullanılarak dosya oluşturma işlemi saldırganın istediği bir konuma yönlendiriliyor. Sonuç olarak, standart kullanıcının yazabileceği ancak SYSTEM yetkileriyle yaratılmış bir dosya elde ediliyor ve bu açık zincirlenerek bir SYSTEM kabuğuna dönüştürülebiliyor.

78researchlab araştırma direktörü Sungyup Nam’ın aktardığına göre, firma bünyesindeki PurpleHound ofensif ekibinden Heewon Song açığı test etti ve çalıştığını doğruladı. Ancak Song, açığın operasyonel kullanım için yeterince kararlı çalışmadığına dikkat çekti.

CLFS Alt Sisteminin Güvenlik Geçmişi ve Kimlik Doğrulama Mekanizması

Windows içindeki günlük kaydı alt sistemi olan CLFS, uzun süredir ayrıcalık yükseltme saldırılarının odak noktasında yer alıyor. SİBER Güvenlik ve Altyapı Güvenliği Ajansı (CISA) kataloğunda, saldırılarda istismar edildiği bilinen 10 farklı CLFS açığı bulunuyor; bunlardan biri Nisan 2025’teki fidye yazılımı kampanyalarında aktif olarak kullanılmıştı. Bu saldırı yüzeyini daraltmak amacıyla Microsoft, Windows 11 25H2, 26H2 ve Windows Server 2025 için Ekim 2025’te yayınladığı güncellemelerde CLFS log dosyalarına bir kimlik doğrulama kontrolü eklemişti.

Söz konusu kontrol, log verilerinden ve her makineye özel bir anahtardan türetilen karma tabanlı bir mesaj kimlik doğrulama kodu (HMAC) ekliyor. Sürücü bu sayede yalnızca kendi yazdığı log dosyalarını ayrıştırabiliyor. Şirketin belgelerinde belirtildiği üzere, her log dosyasının yanında kurtarma verilerini saklayan ve orijinal dosya ile aynı güvenlik özelliklerine sahip bir .cnpf dosyası üretiliyor. SignDrop tam olarak bu yardımcı dosyanın üretim aşamasındaki mantık boşluğunu hedef alıyor.

Hangi Sistemler Risk Altında ve Sınırlamalar Neler?

Açık, CLFS kimlik doğrulama kayıt defteri modunun 0 (zorunlu) veya 1 (öğrenme) olarak ayarlandığı sistemleri etkiliyor. Kurulumdan 90 gün geçen sistemler genellikle otomatik olarak öğrenme modundan zorunlu moda geçtiği için, kararlı işletmelerin varsayılan yapılandırması bu saldırı yüzeyinin hedefinde yer alıyor.

Kayıt defteri değerinin 2 veya 3 yapılması korumayı devre dışı bırakıyor. Fakat hem araştırmacı hem de sürücünün resmi belgeleri bu konuda uyarıyor: Korumayı kapatmak, CLFS’nin tahrif edilmiş log dosyalarını ayrıştırmasına izin veriyor ve bu da korumanın önlemeyi amaçladığı bellek bozulması açıklarını yeniden tetikliyor.

Bu saldırı yönteminin önemli bir pratik sınırlaması bulunuyor. Yayınlanan zincirin başarılı olması için Defender’ın etkin olması şart. İstismar kodu çalıştırıldığında, makinedeki her UAC istemi standart bir kullanıcı kabuğu ile bir SYSTEM kabuğu açacak şekilde değişiyor; bu durum diğer eylemleri bloke ediyor ve başındaki kişi tarafından hemen fark ediliyor. Araştırmacı, bu tekniğin ayrıcalıklı çalışan herhangi bir antivirüs motoruna karşı çalışabileceğini iddia etse de bu geniş kapsamlı iddia henüz bağımsız testlerden geçmedi.

Araştırmacının Önceki Bulguları ile Farkları

MSNightmare, nisan ayından bu yana Windows ve Defender bileşenlerini hedef alan bir dizi istismar kodu yayınlamıştı. Şirket, haziran ayında RoguePlanet adlı önceki bir Defender açığını CVE-2026-50656 olarak doğrulamış ve sonraki ay yama yayınlamıştı. Ağustos ayında ise ShieldBreak atlatma yöntemi CVE-2026-69414 koduyla kaydedilmişti. Bu önceki kusurların üçü saldırılarda aktif olarak kullanılmıştı.

SignDrop ise tamamen farklı bir sınıfı temsil ediyor. Önceki açıklar Defender’ın dosya işleme sürecindeki yarış durumlarını (race conditions) hedef alırken, SignDrop doğrudan CLFS sürücüsünün kendi kimlik doğrulama özelliğini kötüye kullanıyor.

Sistem Yöneticileri Ne Yapmalı?

Kasım ayı güvenlik güncellemelerinde SignDrop için herhangi bir CVE, resmi güvenlik danışma belgesi veya yama yer almadı. CISA’nın Bilinen İstismar Edilen Açıklar kataloğunda da henüz listelenmeyen açık için rapor edilen aktif bir saldırı vakası bulunmuyor.

Sistem yöneticileri risk altında olup olmadıklarını anlamak için HKLMSYSTEMCurrentControlSetServicesCLFSAuthentication adresindeki kayıt defteri değerini kontrol edebilirler. Mod değerinin 0 veya 1 olması, sistemin tehlike alanında olduğunu gösteriyor. Microsoft’un güvenlik güncelleme rehberini takip ederek ilerleyen süreçte yayınlanacak yamaları beklemeniz gerekiyor.