benzamir/cve-2026-7791تصعيد الامتيازات المحلي في Amazon WorkSpaces عبر TOCTOU وكتابة ملف تعسفي
بحث إثبات المفهوم لـ تصعيد الامتيازات المحلية في Amazon WorkSpaces (TOCTOU + كتابة ملفات عشوائية على مستوى SYSTEM في خدمة تكوين مساحة العمل Skylight).
التفاصيل التقنية الكاملة: مدونة Cymulate
| CVE | CVE-2026-7791 |
| البائع | نشرة الأمان AWS 2026-025-AWS |
| تم التصحيح في | Skylight 2.6.2034.0 |
| المؤلف | بن زامير، مختبرات أبحاث Cymulate |
MIT
يمكن للمستخدم ذو الامتيازات المنخفضة في WorkSpaces إساءة استخدام خدمة تكوين مساحة العمل Skylight (التي تعمل كـ SYSTEM) أثناء التدوير المجدول للسجلات: أذونات ACL متساهلة تحت C:\ProgramData\Amazon، تقاطع دليل ROTATE، عدم التحقق من نوع الملف، وفترة TOCTOU ~1–10 ملي ثانية بين أول نقل ملف وتعداد الملفات المؤرشفة.
للمختبر فقط. Skylight ضعيف (قبل 2.6.2034.0)، مستخدم عادي، الحمولة بجانب الملف التنفيذي.
1. قم بتجميع الكود
2. قم بالتنفيذ: poc.exe AutoPilot.dll "C:\Program Files\Amazon\cfn-bootstrap"
poc.exe <filename> [target path]
أبقِ العملية قيد التشغيل حتى يحدث التدوير.
أبحاث أمنية مرخصة واختبارات دفاعية على أنظمتك أو الأنظمة المسموح لك بتقييمها.