---

📋 개요

MiniPlasma는 Windows Cloud Files Mini Filter Driver (cldflt.sys)의 CVE-2020-17103을 대상으로 하는 강력한 로컬 권한 상승 익스플로잇입니다.

이를 통해 모든 표준 사용자가 완전히 패치된 Windows 11, Windows Server 2022 및 Windows Server 2025 시스템(2026년 6월 기준)에서 NT AUTHORITY\SYSTEM 권한으로 상승할 수 있습니다.

---

🎯 영향을 받는 시스템

참고: 최신 Windows 11 Insider Canary 빌드에서는 작동하지 않습니다.

---

🔍 기술 세부사항

• CVE: CVE-2020-17103
• 구성 요소: cldflt.sys (Cloud Files Mini Filter Driver)
• 취약 함수: HsmOsBlockPlaceholderAccess
• 익스플로잇 유형: 경합 조건 + 토큰 조작
• 연구원: Chaotic Eclipse (Nightmare-Eclipse)

작동 방식 (간략히)

1. 자리 표시자 파일 하이드레이션 작업을 트리거합니다 (OneDrive 스타일 파일)
2. 가장 토큰을 조작합니다 (유효 ↔ 익명)
3. 커널 액세스 검사와 경합합니다
4. SYSTEM으로 임의 코드 실행을 달성합니다

---

⚠️ 영향

• 권한 상승: 사용자 → SYSTEM
• 관리자 권한 불필요
• 표준 사용자 컨텍스트에서 작동
• 대부분의 EDR 가정을 우회
• 엔터프라이즈 환경에서 매우 위험

---

🛠️ 완화 및 권장사항

• 다음 Microsoft Patch Tuesday 업데이트를 즉시 적용
• 가능한 경우 Cloud Files / OneDrive 자리 표시자 파일 비활성화
• 엄격한 애플리케이션 제어 사용 (WDAC / AppLocker)
• 의심스러운 cldflt.sys 활동 모니터링
• 최소 권한 원칙 준수

---

📚 참고 자료

• 원본 Project Zero 보고서 (2020)
• MiniPlasma 공개 PoC 릴리스 (2026년 5월)
• Microsoft 보안 대응

---