關(guān)鍵詞

安全漏洞

安全研究人員公開發(fā)布了針對 Windows Common Log File System（CLFS）驅(qū)動漏洞CVE-2026-2636的PoC代碼。該漏洞存在于Microsoft Windows的CLFS.sys驅(qū)動中，允許任意低權(quán)限本地用戶在無需提權(quán)的情況下，瞬間觸發(fā)不可恢復(fù)的藍(lán)屏死機(jī)（BSoD），屬于拒絕服務(wù)（DoS）類型漏洞，CVSS評分為5.5。

漏洞由Ricardo Narvaja（Fortra）在針對CLFS驅(qū)動的專項研究中發(fā)現(xiàn)。問題根源在于CLFS!CClfsRequest::ReadLogPagingIo函數(shù)對關(guān)鍵IRP標(biāo)志位校驗不當(dāng)。當(dāng)IRP_PAGING_IO和IRP_INPUT_OPERATION兩個標(biāo)志同時處于禁用狀態(tài)時，驅(qū)動進(jìn)入異常執(zhí)行路徑，最終直接調(diào)用內(nèi)核函數(shù)nt!KeBugCheckEx，引發(fā)系統(tǒng)崩潰。

PoC利用過程極其簡單，僅需兩次API調(diào)用：首先使用CreateLogFile獲取合法的.blp日志句柄，隨后立即對該句柄調(diào)用ReadFile。由于ReadFile并非為此類日志句柄設(shè)計，CLFS驅(qū)動未能正確處理請求，直接導(dǎo)致內(nèi)核級崩潰。整個攻擊鏈從用戶態(tài)KERNELBASE!ReadFile開始，經(jīng)NtReadFile進(jìn)入CLFS調(diào)度路徑，最終觸發(fā)系統(tǒng)BugCheck。無需構(gòu)造惡意文件，也不涉及復(fù)雜堆噴或內(nèi)存利用技術(shù)。

微軟已在2025年9月發(fā)布的Windows 11 2024 LTSC和Windows Server 2025累積更新中悄然修復(fù)該問題，Windows 25H2版本亦已包含補(bǔ)丁。但Windows 11 23H2及更早版本仍處于未修補(bǔ)狀態(tài)。值得注意的是，CLFS驅(qū)動近年來屢次出現(xiàn)漏洞，包括CVE-2022-37969、CVE-2023-28252、CVE-2024-6768以及被勒索軟件利用的CVE-2025-29824，均集中在同一驅(qū)動子系統(tǒng)。

在多用戶終端、企業(yè)工作站或自助設(shè)備環(huán)境中，該漏洞風(fēng)險尤為突出。建議企業(yè)立即部署2025年9月或之后的累積更新，限制敏感系統(tǒng)的本地登錄權(quán)限，并重點監(jiān)測針對CLFS日志句柄的異常ReadFile調(diào)用行為。對于尚未升級的Windows 11 23H2及更早版本，應(yīng)將其列為高優(yōu)先級補(bǔ)丁修復(fù)對象。

安全圈

網(wǎng)羅圈內(nèi)熱點 專注網(wǎng)絡(luò)安全

實時資訊一手掌握！

好看你就分享 有用就點個贊

支持「安全圈」就點個三連吧！