CVE-2026-66804: Elevazione dei privilegi della fotocamera virtuale Cross Device

Ho scoperto e segnalato in modo indipendente il problema ora tracciato come CVE-2026-66804. MSRC ha confermato la mia segnalazione come duplicato di un rapporto precedente con la stessa causa principale sottostante di Windows Camera FrameServer.

Un utente Windows standard può creare un percorso attendibile mancante in C:\ProgramData\CrossDevice, posizionare la DLL COM della fotocamera virtuale Cross Device registrata e indurre Windows Camera Frame Server a caricare codice controllato dall'attaccante come NT AUTHORITY\LOCAL SERVICE. La catena di prova inclusa usa il privilegio SeImpersonatePrivilege abilitato nel token del servizio per ottenere NT AUTHORITY\SYSTEM.

Video principale da percorso mancante su VM pulita a SYSTEM

In breve

Windows ha registrato il server COM della fotocamera virtuale Cross Device in:

%PROGRAMDATA%\CrossDevice\CrossDevice.Streaming.Source.dll

Sulla VM Windows 11 pulita/predefinita usata per la validazione, la registrazione a livello di macchina esisteva prima che esistesse la directory di supporto. Un utente standard ha creato la directory mancante, posizionato la DLL prevista e invocato l'API della fotocamera virtuale. Camera Frame Server ha caricato la DLL come LOCAL SERVICE, dopodiché la catena di prova ha ottenuto un token SYSTEM e scritto una ricevuta in un percorso protetto.

Questo è un problema di percorso mancante o di pre-inizializzazione. Non è un'affermazione che un utente standard possa sovrascrivere una DLL Microsoft esistente e protetta.

Vulnerabilità

La registrazione a livello di macchina pertinente è:

HKLM\SOFTWARE\Classes\CLSID\{E9F83CF2-E0C0-4CA7-AF01-E90C70BEF496}\InProcServer32
  (Default) REG_EXPAND_SZ %PROGRAMDATA%\CrossDevice\CrossDevice.Streaming.Source.dll

La catena dimostrata è:

1. Un utente standard conferma la registrazione COM a livello di macchina.
2. L'utente conferma che C:\ProgramData\CrossDevice non esiste.
3. L'utente crea la directory mancante e posiziona la DLL registrata.
4. L'utente avvia la fotocamera virtuale Cross Device tramite Media Foundation.
5. Windows Camera Frame Server carica la DLL come LOCAL SERVICE.
6. La DLL conferma che il token del servizio dispone di SeImpersonatePrivilege.
7. La catena di prova adattata in stile GodPotato ottiene un token SYSTEM.
8. La PoC scrive una ricevuta in un percorso protetto come NT AUTHORITY\SYSTEM.

Riproduzione su VM pulita

Esegui questa prova di concetto solo in una VM lab vulnerabile e usa e getta di tua proprietà o per la quale sei esplicitamente autorizzato a testare. Crea uno snapshot della VM prima dell'uso.

Da un prompt dei comandi di un utente standard:

cd /d path\to\fresh-vm-repro
Run-CrossDevicePoC.cmd

Il runner valida la registrazione prevista e rifiuta di toccare una directory Cross Device preesistente o un binario di supporto imprevisto. L'esecuzione riuscita produce ricevute LOCAL SERVICE, privilegi e SYSTEM.

Prerequisiti completi, risultati attesi, hash, comandi di build e passaggi di pulizia sono in fresh-vm-repro/README.md.

Prove video

Entrambe le registrazioni sono conservate perché documentano parti complementari del caso.

L'output della console della VM pulita catturato è conservato in fresh-vm-transcript.txt.

Materiale originale del caso

• Analisi dettagliata: docs/technical-report.md
• Chiarimento sul percorso mancante fornito a MSRC: docs/msrc-fresh-vm-clarification.md
• Note originali dei comandi e wrapper di compatibilità legacy: docs/archive/

Cronologia

Attribuzione a terze parti

Parti del resolver OXID, dell'impersonificazione tramite named pipe, della costruzione di OBJREF e della logica di acquisizione del token SYSTEM sono state adattate e tradotte in C da GodPotato di BeichenDream e collaboratori.

Vedi THIRD_PARTY_NOTICES.md e LICENSES/Apache-2.0.txt per i dettagli su attribuzione e licenza.

Risorse

• Avviso Microsoft: CVE-2026-66804
• Record CVE: CVE-2026-66804
• Pacchetto di riproduzione: fresh-vm-repro/
• Report tecnico: docs/technical-report.md

Disclaimer: Questo codice di exploit è fornito esclusivamente per ricerca di sicurezza autorizzata e scopi educativi. Non usarlo contro sistemi che non possiedi o per i quali non hai esplicito permesso di test. Eseguilo solo in una VM lab usa e getta. L'autore non è responsabile per usi impropri o danni.

CVE-2026-66804 - segnalato a MSRC come caso 119805 / segnalazione VULN-192287, con esito Complete - Duplicate.

Riconoscimento Microsoft: Daniel Wade with nadsec.

Daniel Wade - GitHub · Twitter/X · Bluesky · Mastodon · Medium · nadsec.online