CVE-2026-7791 PoC: 기본적으로 높은 권한

Amazon WorkSpaces의 로컬 권한 상승에 대한 연구 개념 증명 (Skylight Workspace Config Service의 TOCTOU + SYSTEM 수준 임의 파일 쓰기).

전체 기술 세부 정보: Cymulate 블로그


CVE	CVE-2026-7791
공급업체	AWS Security Bulletin 2026-025-AWS
패치 버전	Skylight 2.6.2034.0
작성자	Ben Zamir, Cymulate Research Labs

라이선스

MIT

이 PoC의 기능

낮은 권한의 WorkSpaces 사용자가 예약된 로그 로테이션 중에 Skylight Workspace Config Service(SYSTEM으로 실행)를 악용할 수 있습니다. C:\ProgramData\Amazon 아래의 허용적인 ACL, ROTATE 디렉터리 정크션, 파일 형식 검사 없음, 첫 번째 파일 이동과 보관된 파일 열거 사이의 ~1–10 ms TOCTOU.

빠른 시작

실험실 전용. 취약한 Skylight (2.6.2034.0 이전), 표준 사용자, 실행 파일 옆에 페이로드.

1. Compile the code
2. Execute: poc.exe AutoPilot.dll "C:\Program Files\Amazon\cfn-bootstrap"

poc.exe <filename> [target path]

로테이션이 발생할 때까지 프로세스를 계속 실행합니다.

책임 있는 사용

소유하거나 평가가 허가된 시스템에서 승인된 보안 연구 및 방어 테스트.

참고 항목

AWS Security Bulletin 2026-025-AWS

CVE-2026-7791