CVE-2026-66804: クロスデバイス仮想カメラの権限昇格（EoP）

私は現在 CVE-2026-66804 として追跡されているこの問題を独自に発見し、報告しました。MSRC は、私の提出が、同じ根本原因（Windows Camera FrameServer）を持つ以前の報告の重複であると確認しました。

標準ユーザーは、C:\ProgramData\CrossDevice 配下に存在しない信頼されたパスを作成し、登録済みの Cross Device 仮想カメラ COM DLL を配置して、Windows Camera Frame Server に攻撃者制御のコードを NT AUTHORITY\LOCAL SERVICE として読み込ませることができます。同梱の実証チェーンは、サービストークンで有効になっている SeImpersonatePrivilege を使用して NT AUTHORITY\SYSTEM を取得します。

新規 VM の欠落パスから SYSTEM への主な動画


CVE	CVE-2026-66804
Microsoft の正式名称	Microsoft Windows Cross Device Service の特権昇格の脆弱性
MSRC ケース	`119805`
MSRC 提出番号	`VULN-192287`
MSRC の判定	`Complete - Duplicate`（完了 - 重複）
Microsoft の謝辞	`Daniel Wade with nadsec`
公開日	2026-08-11
Microsoft の重大度	Important（重要）
Microsoft CVSS	7.8 High - `CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H`
Microsoft CWE	CWE-284: 不適切なアクセス制御（Improper Access Control）
バグの分類	欠落パス DLL プランティング / COM オブジェクトハイジャック
コンポーネント	Cross Device 仮想カメラ / Windows Camera FrameServer
COM クラス	`{E9F83CF2-E0C0-4CA7-AF01-E90C70BEF496}`
主な検証ビルド	Windows 11 Pro 25H2 build `26200.8524`
影響	ローカルの標準ユーザーから `NT AUTHORITY\SYSTEM` へ

TL;DR

Windows は Cross Device 仮想カメラ COM サーバーを次の場所に登録しました：

%PROGRAMDATA%\CrossDevice\CrossDevice.Streaming.Source.dll

検証に使用した新規/既定の Windows 11 VM では、参照先ディレクトリが存在する前に、マシン全体の登録が存在していました。標準ユーザーが欠落していたディレクトリを作成し、想定される DLL を配置して、仮想カメラ API を呼び出しました。Camera Frame Server が DLL を LOCAL SERVICE として読み込み、その後、実証チェーンが SYSTEM トークンを取得し、保護されたパスにレシート（受領確認ファイル）を書き込みました。

これは欠落パス（missing-path）または初期化前（pre-initialization）の問題です。標準ユーザーが既存の保護された Microsoft DLL を上書きできるという主張ではありません。

脆弱性

関連するマシン全体の登録は次のとおりです：

HKLM\SOFTWARE\Classes\CLSID\{E9F83CF2-E0C0-4CA7-AF01-E90C70BEF496}\InProcServer32
  (Default) REG_EXPAND_SZ %PROGRAMDATA%\CrossDevice\CrossDevice.Streaming.Source.dll

実証されたチェーンは次のとおりです：

標準ユーザーがマシン全体の COM 登録を確認する。
ユーザーが C:\ProgramData\CrossDevice が存在しないことを確認する。
ユーザーが欠落しているディレクトリを作成し、登録済み DLL を配置する。
ユーザーが Media Foundation を通じて Cross Device 仮想カメラを起動する。
Windows Camera Frame Server が DLL を LOCAL SERVICE として読み込む。
DLL がサービストークンに SeImpersonatePrivilege があることを確認する。
改変された GodPotato スタイルの実証チェーンが SYSTEM トークンを取得する。
PoC が NT AUTHORITY\SYSTEM として保護されたパスにレシートを書き込む。

新規 VM での再現

この概念実証は、自分が所有している、または明示的にテストを許可されている、使い捨ての脆弱なラボ VM でのみ実行してください。使用前に VM のスナップショットを取得してください。

標準ユーザーのコマンドプロンプトから：

cd /d path\to\fresh-vm-repro
Run-CrossDevicePoC.cmd

ランナーは想定される登録を検証し、既存の Cross Device ディレクトリや想定外のヘルパーバイナリには一切触れません。実行に成功すると、LOCAL SERVICE、特権、SYSTEM のレシートが生成されます。

すべての前提条件、期待される結果、ハッシュ、ビルドコマンド、クリーンアップ手順は、fresh-vm-repro/README.md にあります。

動画による証拠

2 つの録画は、このケースの補完的な部分を記録しているため、両方とも保持されています。

動画	役割
`fresh-vm-missing-path-to-system.mp4`	主となる新規/既定 VM の再検証。標準ユーザーによる DLL 配置、LOCAL SERVICE での実行、SYSTEM レシートを示します。録画では、ターミナルのスクロールバックによって以前の欠落パス状態を確認できます。トランスクリプトは、作成前の明示的な出力を保持しています。

取得された新規 VM のコンソール出力は、fresh-vm-transcript.txt に保存されています。

元のケース資料

詳細な分析: docs/technical-report.md
MSRC に提供した欠落パスの明確化資料: docs/msrc-fresh-vm-clarification.md
元のコマンドメモとレガシー互換ラッパー: docs/archive/

タイムライン

第三者の帰属表示

OXID リゾルバー、名前付きパイプ偽装、OBJREF 構築、SYSTEM トークン取得ロジックの一部は、BeichenDream とコントリビューターによる GodPotato から改変し C 言語に移植したものです。

帰属表示とライセンスの詳細については、THIRD_PARTY_NOTICES.md と LICENSES/Apache-2.0.txt を参照してください。

リソース

Microsoft アドバイザリ: CVE-2026-66804
CVE レコード: CVE-2026-66804
再現パッケージ: fresh-vm-repro/
技術レポート: docs/technical-report.md

免責事項: このエクスプロイトコードは、認可されたセキュリティ研究および教育目的でのみ提供されます。所有していない、または明示的なテスト許可がないシステムに対して使用しないでください。使い捨てのラボ VM でのみ実行してください。作者は誤用または損害について責任を負いません。

CVE-2026-66804 - ケース 119805 / 提出番号 VULN-192287 として MSRC に報告され、判定は Complete - Duplicate（完了 - 重複）でした。

Microsoft の謝辞: Daniel Wade with nadsec。

Daniel Wade - GitHub · Twitter/X · Bluesky · Mastodon · Medium · nadsec.online

2026-06-01	初期レポートを `VULN-192287` として MSRC に提出。MSRC ケース `119805` が開かれる
2026-06-04	欠落パス/初期化前の問題の明確化資料とクリーンな再現アーカイブを提供
2026-06-05	MSRC が明確化資料を了承
2026-07-27	MSRC がその動作を確認。その後、提出内容が同じ根本原因（Windows Camera FrameServer）を持つ以前の問題の重複であると判定。クレジットは予定されていたが、報奨金は支払われなかった
2026-08-11	Microsoft が `CVE-2026-66804` を公開し、セキュリティ更新プログラムをリリース
2026-08-13	謝辞の文言 `Daniel Wade with nadsec` が確認された

CVE-2026-66804-CrossDevice-Service-EoP

人気