CVE-2026-66804: ترقية صلاحيات الكاميرا الافتراضية عبر الأجهزة

اكتشفت هذه المشكلة وتم الإبلاغ عنها بشكل مستقل، وهي الآن متتبعة كـ CVE-2026-66804. أكد MSRC أن الإرسال كان مكررًا لتقرير سابق له نفس السبب الجذري في خادم إطارات الكاميرا في Windows.

يمكن لمستخدم Windows قياسي إنشاء مسار موثوق مفقود تحت C:\ProgramData\CrossDevice، ووضع ملف COM DLL الخاص بالكاميرا الافتراضية المسجل عبر الأجهزة، مما يتسبب في قيام خادم إطارات الكاميرا في Windows بتحميل كود يتحكم فيه المهاجم بصلاحيات NT AUTHORITY\LOCAL SERVICE. تستخدم سلسلة الإثبات المرفقة صلاحية SeImpersonatePrivilege المفعّلة في رمز الخدمة للحصول على صلاحيات NT AUTHORITY\SYSTEM.

الفيديو الأساسي للمسار المفقود إلى SYSTEM على جهاز افتراضي جديد

الخلاصة

سجّلت Windows خادم COM للكاميرا الافتراضية عبر الأجهزة في:

%PROGRAMDATA%\CrossDevice\CrossDevice.Streaming.Source.dll

على جهاز Windows 11 الافتراضي الجديد/الافتراضي المستخدم للتحقق، كان التسجيل على مستوى الجهاز موجودًا قبل وجود الدليل الداعم. أنشأ مستخدم قياسي الدليل المفقود، ووضع ملف DLL المتوقع، واستدعى واجهة برمجة تطبيقات الكاميرا الافتراضية. قام خادم إطارات الكاميرا بتحميل DLL كخدمة محلية LOCAL SERVICE، وبعد ذلك حصلت سلسلة الإثبات على رمز SYSTEM وكتبت إيصالًا في مسار محمي.

هذه مشكلة مسار مفقود أو ما قبل التهيئة. وليست ادعاءً بأن مستخدمًا قياسيًا يمكنه الكتابة فوق ملف Microsoft DLL موجود ومحمي.

الثغرة

التسجيل ذو الصلة على مستوى الجهاز هو:

HKLM\SOFTWARE\Classes\CLSID\{E9F83CF2-E0C0-4CA7-AF01-E90C70BEF496}\InProcServer32
  (Default) REG_EXPAND_SZ %PROGRAMDATA%\CrossDevice\CrossDevice.Streaming.Source.dll

السلسلة الموضحة هي:

1. يتحقق مستخدم قياسي من تسجيل COM على مستوى الجهاز.
2. يؤكد المستخدم أن C:\ProgramData\CrossDevice غير موجود.
3. ينشئ المستخدم الدليل المفقود ويضع ملف DLL المسجل.
4. يشغّل المستخدم الكاميرا الافتراضية عبر الأجهزة من خلال Media Foundation.
5. يقوم خادم إطارات الكاميرا في Windows بتحميل DLL كخدمة محلية LOCAL SERVICE.
6. يؤكد ملف DLL أن رمز الخدمة يحتوي على SeImpersonatePrivilege.
7. تحصل سلسلة الإثبات المعدّلة بأسلوب GodPotato على رمز SYSTEM.
8. يكتب الإثبات المفاهيمي (PoC) إيصالًا في مسار محمي بصلاحيات NT AUTHORITY\SYSTEM.

إعادة الإنتاج على جهاز افتراضي جديد

قم بتشغيل هذا الإثبات المفاهيمي فقط على جهاز افتراضي قابل للتخلص وضعيف في مختبر تملكه أو لديك إذن صريح لاختباره. التقط لقطة من الجهاز قبل الاستخدام.

من موجه أوامر لمستخدم قياسي:

cd /d path\to\fresh-vm-repro
Run-CrossDevicePoC.cmd

يتحقق المُشغِّل من التسجيل المتوقع ويرفض لمس أي دليل Cross Device موجود مسبقًا أو أي ملف مساعد غير متوقع. ينتج عن التنفيذ الناجح إيصالات LOCAL SERVICE والصلاحيات وSYSTEM.

المتطلبات الكاملة والنتائج المتوقعة والتجزئات وأوامر البناء وخطوات التنظيف موجودة في fresh-vm-repro/README.md.

أدلة الفيديو

تم الاحتفاظ بالتسجيلين لأنهما يوثقان أجزاء متكاملة من القضية.

يتم حفظ مخرجات وحدة التحكم الملتقطة للجهاز الافتراضي الجديد في fresh-vm-transcript.txt.

المواد الأصلية للقضية

• تحليل مفصل: docs/technical-report.md
• توضيح المسار المفقود المقدم إلى MSRC: docs/msrc-fresh-vm-clarification.md
• ملاحظات الأوامر الأصلية وواجهات التوافق القديمة: docs/archive/

الجدول الزمني

إسناد الجهات الخارجية

تم اقتباس أجزاء من محلل OXID وانتحال الأنابيب المسماة (named-pipe) وبناء OBJREF ومنطق الحصول على رمز SYSTEM وترجمتها إلى C من GodPotato بواسطة BeichenDream والمساهمين.

انظر THIRD_PARTY_NOTICES.md و LICENSES/Apache-2.0.txt للحصول على تفاصيل الإسناد والترخيص.

الموارد

• نشرة Microsoft: CVE-2026-66804
• سجل CVE: CVE-2026-66804
• حزمة إعادة الإنتاج: fresh-vm-repro/
• التقرير الفني: docs/technical-report.md

إخلاء مسؤولية: يُقدَّم كود الاستغلال هذا لأغراض البحث الأمني المصرح به والتعليم فقط. لا تستخدمه ضد أنظمة لا تملكها أو ليس لديك إذن صريح لاختبارها. قم بتشغيله فقط على جهاز افتراضي قابل للتخلص في مختبر. المؤلف غير مسؤول عن إساءة الاستخدام أو الضرر.

CVE-2026-66804 - تم الإبلاغ عنه إلى MSRC كقضية 119805 / إرسال VULN-192287، مع معالجة Complete - Duplicate.

إقرار Microsoft: Daniel Wade with nadsec.

Daniel Wade - GitHub · Twitter/X · Bluesky · Mastodon · Medium · nadsec.online