CVE-2026-66804 : Élévation de privilèges de la caméra virtuelle Cross Device

Découverte et signalée indépendamment, la faille est désormais suivie sous le nom CVE-2026-66804. MSRC a confirmé que la soumission était un doublon d'un rapport antérieur portant sur la même cause racine sous-jacente de Windows Camera FrameServer.

Un utilisateur Windows standard peut créer un chemin approuvé manquant sous C:\ProgramData\CrossDevice, déposer la DLL COM de la caméra virtuelle Cross Device enregistrée, et amener Windows Camera Frame Server à charger du code contrôlé par l'attaquant en tant que NT AUTHORITY\LOCAL SERVICE. La chaîne de preuve incluse utilise le privilège SeImpersonatePrivilege activé du jeton de service pour obtenir NT AUTHORITY\SYSTEM.

Vidéo principale du chemin manquant vers SYSTEM sur VM fraîche

En bref

Windows a enregistré le serveur COM de la caméra virtuelle Cross Device à :

%PROGRAMDATA%\CrossDevice\CrossDevice.Streaming.Source.dll

Sur la VM Windows 11 fraîche/par défaut utilisée pour la validation, l'enregistrement machine existait avant le répertoire de support. Un utilisateur standard a créé le répertoire manquant, déposé la DLL attendue et invoqué l'API de la caméra virtuelle. Camera Frame Server a chargé la DLL en tant que LOCAL SERVICE, après quoi la chaîne de preuve a obtenu un jeton SYSTEM et écrit un reçu de chemin protégé.

Ceci est un problème de chemin manquant ou de pré-initialisation. Il ne s'agit pas d'affirmer qu'un utilisateur standard peut écraser une DLL Microsoft existante et protégée.

Vulnérabilité

L'enregistrement machine pertinent est :

HKLM\SOFTWARE\Classes\CLSID\{E9F83CF2-E0C0-4CA7-AF01-E90C70BEF496}\InProcServer32
  (Default) REG_EXPAND_SZ %PROGRAMDATA%\CrossDevice\CrossDevice.Streaming.Source.dll

La chaîne démontrée est :

1. Un utilisateur standard confirme l'enregistrement COM machine.
2. L'utilisateur confirme que C:\ProgramData\CrossDevice est absent.
3. L'utilisateur crée le répertoire manquant et dépose la DLL enregistrée.
4. L'utilisateur démarre la caméra virtuelle Cross Device via Media Foundation.
5. Windows Camera Frame Server charge la DLL en tant que LOCAL SERVICE.
6. La DLL confirme que le jeton de service dispose de SeImpersonatePrivilege.
7. La chaîne de preuve adaptée de style GodPotato obtient un jeton SYSTEM.
8. La preuve de concept (PoC) écrit un reçu de chemin protégé en tant que NT AUTHORITY\SYSTEM.

Reproduction sur VM fraîche

Exécutez cette preuve de concept uniquement dans une VM de laboratoire vulnérable et jetable que vous possédez ou pour laquelle vous êtes explicitement autorisé à effectuer des tests. Prenez un instantané de la VM avant utilisation.

À partir d'une invite de commandes d'utilisateur standard :

cd /d path\to\fresh-vm-repro
Run-CrossDevicePoC.cmd

Le script de lancement valide l'enregistrement attendu et refuse de toucher à un répertoire Cross Device préexistant ou à un binaire auxiliaire inattendu. Une exécution réussie produit les reçus LOCAL SERVICE, privilège et SYSTEM.

La liste complète des prérequis, résultats attendus, hashs, commandes de compilation et étapes de nettoyage se trouve dans fresh-vm-repro/README.md.

Preuves vidéo

Les deux enregistrements sont conservés car ils documentent des éléments complémentaires du dossier.

La sortie console capturée de la VM fraîche est conservée dans fresh-vm-transcript.txt.

Matériel du dossier original

• Analyse détaillée : docs/technical-report.md
• Clarification du chemin manquant fournie à MSRC : docs/msrc-fresh-vm-clarification.md
• Notes de commandes originales et wrappers de compatibilité hérités : docs/archive/

Chronologie

Attribution à des tiers

Des parties du résolveur OXID, de l'usurpation d'identité par named pipe, de la construction d'OBJREF et de la logique d'acquisition du jeton SYSTEM ont été adaptées et traduites en C à partir de GodPotato par BeichenDream et les contributeurs.

Consultez THIRD_PARTY_NOTICES.md et LICENSES/Apache-2.0.txt pour les détails d'attribution et de licence.

Ressources

• Avis Microsoft : CVE-2026-66804
• Enregistrement CVE : CVE-2026-66804
• Paquet de reproduction : fresh-vm-repro/
• Rapport technique : docs/technical-report.md

Avertissement : Ce code d'exploitation est fourni uniquement pour la recherche en sécurité autorisée et à des fins éducatives. Ne l'utilisez pas contre des systèmes que vous ne possédez pas ou pour lesquels vous n'avez pas d'autorisation explicite de test. Exécutez-le uniquement dans une VM de laboratoire jetable. L'auteur n'est pas responsable d'une mauvaise utilisation ou de dommages.

CVE-2026-66804 - signalé à MSRC sous le cas 119805 / soumission VULN-192287, avec la disposition Complete - Duplicate.

Reconnaissance Microsoft : Daniel Wade with nadsec.

Daniel Wade - GitHub · Twitter/X · Bluesky · Mastodon · Medium · nadsec.online