關(guān)鍵詞

安全漏洞

安全研究人員公開(kāi)發(fā)布了針對(duì) Windows Common Log File System（CLFS）驅(qū)動(dòng)漏洞CVE-2026-2636的PoC代碼。該漏洞存在于Microsoft Windows的CLFS.sys驅(qū)動(dòng)中，允許任意低權(quán)限本地用戶在無(wú)需提權(quán)的情況下，瞬間觸發(fā)不可恢復(fù)的藍(lán)屏死機(jī)（BSoD），屬于拒絕服務(wù)（DoS）類型漏洞，CVSS評(píng)分為5.5。

漏洞由Ricardo Narvaja（Fortra）在針對(duì)CLFS驅(qū)動(dòng)的專項(xiàng)研究中發(fā)現(xiàn)。問(wèn)題根源在于CLFS!CClfsRequest::ReadLogPagingIo函數(shù)對(duì)關(guān)鍵IRP標(biāo)志位校驗(yàn)不當(dāng)。當(dāng)IRP_PAGING_IO和IRP_INPUT_OPERATION兩個(gè)標(biāo)志同時(shí)處于禁用狀態(tài)時(shí)，驅(qū)動(dòng)進(jìn)入異常執(zhí)行路徑，最終直接調(diào)用內(nèi)核函數(shù)nt!KeBugCheckEx，引發(fā)系統(tǒng)崩潰。

PoC利用過(guò)程極其簡(jiǎn)單，僅需兩次API調(diào)用：首先使用CreateLogFile獲取合法的.blp日志句柄，隨后立即對(duì)該句柄調(diào)用ReadFile。由于ReadFile并非為此類日志句柄設(shè)計(jì)，CLFS驅(qū)動(dòng)未能正確處理請(qǐng)求，直接導(dǎo)致內(nèi)核級(jí)崩潰。整個(gè)攻擊鏈從用戶態(tài)KERNELBASE!ReadFile開(kāi)始，經(jīng)NtReadFile進(jìn)入CLFS調(diào)度路徑，最終觸發(fā)系統(tǒng)BugCheck。無(wú)需構(gòu)造惡意文件，也不涉及復(fù)雜堆噴或內(nèi)存利用技術(shù)。

微軟已在2025年9月發(fā)布的Windows 11 2024 LTSC和Windows Server 2025累積更新中悄然修復(fù)該問(wèn)題，Windows 25H2版本亦已包含補(bǔ)丁。但Windows 11 23H2及更早版本仍處于未修補(bǔ)狀態(tài)。值得注意的是，CLFS驅(qū)動(dòng)近年來(lái)屢次出現(xiàn)漏洞，包括CVE-2022-37969、CVE-2023-28252、CVE-2024-6768以及被勒索軟件利用的CVE-2025-29824，均集中在同一驅(qū)動(dòng)子系統(tǒng)。

在多用戶終端、企業(yè)工作站或自助設(shè)備環(huán)境中，該漏洞風(fēng)險(xiǎn)尤為突出。建議企業(yè)立即部署2025年9月或之后的累積更新，限制敏感系統(tǒng)的本地登錄權(quán)限，并重點(diǎn)監(jiān)測(cè)針對(duì)CLFS日志句柄的異常ReadFile調(diào)用行為。對(duì)于尚未升級(jí)的Windows 11 23H2及更早版本，應(yīng)將其列為高優(yōu)先級(jí)補(bǔ)丁修復(fù)對(duì)象。

安全圈

網(wǎng)羅圈內(nèi)熱點(diǎn) 專注網(wǎng)絡(luò)安全

實(shí)時(shí)資訊一手掌握！

好看你就分享 有用就點(diǎn)個(gè)贊

支持「安全圈」就點(diǎn)個(gè)三連吧！