요약

취약점: Barrier 데몬 TCP 포트 24801을 통한 인증되지 않은 IPC 로컬 권한 상승으로 SYSTEM 권한 획득
공급업체: debauchee (Barrier 프로젝트)
제품: Barrier 2.4.0 (최종 릴리스, 2021-11-01)
CWE: CWE-306: 중요 기능에 대한 인증 누락

설명

Barrier의 Windows 서비스(barrierd.exe)는 LocalSystem으로 설치되어 실행되며, 127.0.0.1:24801에 인증, 클라이언트 신원 검증, 접근 제어 없이 TCP IPC 제어 서버를 바인딩합니다. 권한 수준과 관계없이 모든 로컬 프로세스는 이 포트에 연결하여 임의의 명령줄과 1바이트 "elevate" 플래그가 포함된 kIpcCommand("ICMD") 메시지를 보낼 수 있습니다. 이는 winlogon.exe의 SYSTEM 기본 토큰을 복제하며, 그 즉시 NT AUTHORITY\SYSTEM 권한으로 코드가 실행됩니다. POC에서 볼 수 있듯이 SYSTEM 권한으로 실행되는 새 cmd.exe 창을 팝업으로 띄울 수도 있습니다.

재현 단계

Barrier 서비스(barrierd.exe, LocalSystem)가 설치되어 실행 중인 Windows 호스트에서 낮은 권한의 로컬 코드 실행 권한을 확보합니다.
127.0.0.1:24801에 TCP 연결을 엽니다.
IPC hello를 보냅니다: b"IHEL" + b"\x00" (kIpcClientGui로 식별됨).
명령 메시지를 보냅니다: b"ICMD" + struct.pack(">I", len(cmd)) + cmd.encode("utf-8") + b"\x01" (elevate=1). 여기서 cmd = " -d x /c "(일회성 명령용) 또는 " -d x /k "(payload 자체가 프로세스를 유지하지 않는 경우, 예: start로 보이는 창을 띄울 때, 데몬의 watchdog 재실행 루프를 피하기 위함)입니다. "-d x" 접두사는 함께 발생하는 NULL 역참조 버그로 데몬이 충돌하는 것을 피하기 위해 반드시 필요합니다.
barrierd.exe의 watchdog 스레드는 활성 콘솔 세션을 열거하고 winlogon.exe를 열어 해당 SYSTEM 기본 토큰을 복제합니다.
CreateProcessAsUser(systemToken, NULL, cmd, ...)는 공격자의 명령을 NT AUTHORITY\SYSTEM 권한으로 실행합니다. cmd.exe 자체의 관대한 스위치 파서는 앞의 "-d x" 잡음을 무시하고 "/c"/"/k"를 "나머지를 명령으로 실행"으로 올바르게 해석합니다.
지속성(PERSISTENCE): 실행된 명령은 자동으로 저장되며, 빈 명령을 보내거나 HKLM\SOFTWARE\Barrier를 직접 편집하여 명시적으로 제거하기 전까지 공격자의 추가 조치 없이 서비스가 재시작/재부팅될 때마다 SYSTEM 권한으로 다시 실행됩니다.

영향받는 코드

src/lib/ipc/IpcClientProxy.cpp - 명령 및 elevate 바이트
src/lib/ipc/IpcServer.cpp -- IPC 수락(accept) 경로에 인증 없음
src/lib/barrier/win32/DaemonApp.cpp -- 결과를 버리고 명령을 레지스트리 HKLM\SOFTWARE\Barrier에 영구 저장
src/lib/platform/MSWindowsWatchdog.cpp -- SYSTEM 토큰 획득

코드: https://github.com/debauchee/barrier/releases/tag/v2.4.0

Proof-of-Concept (POC) 또는 집에 가라

이것이 실제로 동작함을 증명하기 위해 Proof-of-Concept(POC) 하나가 포함되어 있습니다.

POC -- Debauchee_Barrier_Privesc.py

영향

공격자는 이 취약점을 악용하여 SYSTEM 수준의 권한을 획득할 수 있습니다. 더 심각한 점은, 실행된 명령이 재시작/시작 시 자동으로 실행된다는 것입니다.

권장 조치

Barrier는 더 이상 유지보수되지 않으며 수정 사항이 제공되지 않을 것입니다. 여전히 Barrier를 실행 중인 조직은 동일한 취약점(CVE-2026-41477 / GHSA-6rx5-g478-775c)을 해결한 Deskflow(적극적으로 유지보수되는 후속 프로젝트)의 패치된 빌드로 마이그레이션하세요.

공개 타임라인

2026년 4월 20일 -- 발견됨. 유지보수되지 않는 프로젝트라 신고할 곳이 없음.
2026년 7월 25일 -- 이 프로젝트가 포크될 가능성이 있으므로 NoCVE에 연락할 가치가 있다고 판단함.

NotCVE-2026-0010

인기