CVE-2026-66804: Microsoft Windows クロスデバイスサービスの特権昇格の脆弱性

MSRC に報告した CrossDevice/FrameServer の LPE（ローカル特権昇格）の概念実証コードで、CVE-2026-66804 として採番されました。Windows 10 および Windows 11 に影響します。

脆弱性

Windows は、このマシン全体の COM サーバーを登録します：

HKLM\SOFTWARE\Classes\CLSID\{E9F83CF2-E0C0-4CA7-AF01-E90C70BEF496}\InprocServer32
%PROGRAMDATA%\CrossDevice\CrossDevice.Streaming.Source.dll

テストした脆弱なインストール環境では、C:\ProgramData\CrossDevice は存在せず、標準ユーザーがこれを作成できました。登録された DLL を配置し、Media Foundation 仮想カメラを起動すると、FrameServer がその DLL をセッション 0 の NT AUTHORITY\LOCAL SERVICE として読み込みました。

その後、PoC は埋め込まれた SigmaPotato ヘルパーを介して LocalService トークンの SeImpersonatePrivilege を使用し、SYSTEM を取得して、アクティブなデスクトップ上で通常の cmd.exe を開きます。SigmaPotato は最後の汎用的な権限変換ステップです。ここで実証される Microsoft のセキュリティ境界の欠陥は、その前段である FrameServer での攻撃者制御の DLL 読み込みです。

この PoC は、Windows 11 ビルド 26200.8875 および 29617.1000 でテストされました。

実行

対象ディレクトリは既に存在していてはなりません。通常の、管理者権限のないコマンドプロンプトから、次を実行します：

CrossDeviceLPE.exe

これだけです。すると、次のように表示されます：

nt authority\system

実行ファイルにはすべてのランタイムコンポーネントが埋め込まれています。追加のファイルやコマンドライン引数は必要ありません。

この PoC には SigmaPotato 1.2.6 と VCamSample のビルドが埋め込まれています。それらのライセンスは third_party/ にあります。

ビルド

このリポジトリには、ランチャーとペイロードのソースに加えて、オフラインビルドに必要な2つの固定されたサードパーティバイナリが含まれています。Linux では、MinGW-w64 GCC ツールチェーンをインストールして、次を実行してください：

./build.sh