Nightmare Eclipse ซึ่งใช้ชื่อแทนนี้ ได้เปิดเผย SignDrop ซึ่งเป็นช่องโหว่ที่ทำให้ผู้ใช้ในเครื่องสามารถเข้าถึงสิทธิ์ระดับ System ได้ในบางเวอร์ชันของ Windows
ช่องโหว่ดังกล่าวอยู่ใน Common Log File System (CLFS) และการโจมตีใช้ประโยชน์จากการที่กระบวนการที่มีสิทธิ์สูง เช่น Windows Defender ถูกบังคับให้เปิดคอนเทนเนอร์ CLFS ที่ถูกสร้างขึ้นมาอย่างจำกัดสิทธิ์
การโจมตีนี้ใช้ประโยชน์จากการทำงานร่วมกันระหว่าง CLFS, Windows Defender และสิทธิ์ไฟล์ของ Windows โดยใช้ฟังก์ชัน ServerMpUpdateEngineSignature ของ Defender ในการเปิดไฟล์ Log ที่สร้างโดยผู้ใช้ทั่วไปเพื่ออัปเดตลายเซ็นไวรัส
การเปลี่ยนการป้องกันของ Windows ให้กลายเป็นจุดอ่อน
การโจมตีนี้ใช้ประโยชน์จากการทำงานร่วมกันของ CLFS, Windows Defender และสิทธิ์ไฟล์ของ Windows โดยการเรียกใช้ฟังก์ชัน ServerMpUpdateEngineSignature ซึ่งเป็นฟังก์ชันที่ถูกต้องของ Defender สำหรับการประมวลผลการอัปเดตลายเซ็นไวรัส
ศัพท์ที่ควรรู้
- Zero-day – ช่องโหว่ด้านความปลอดภัยที่ยังไม่เป็นที่ทราบของซอฟต์แวร์หรือระบบปฏิบัติการ
- System rights – สิทธิ์ระดับสูงสุดที่ทำให้ผู้ใช้สามารถควบคุมระบบปฏิบัติการได้อย่างสมบูรณ์
- Common Log File System (CLFS) – ระบบไฟล์สำหรับบันทึกข้อมูลที่ใช้ร่วมกันซึ่งเป็นเป้าหมายของการโจมตี
- Windows Defender – โปรแกรมรักษาความปลอดภัยของ Windows ที่ถูกใช้เป็นส่วนหนึ่งของการโจมตี
ที่มา: Ars Technica