CVE-2026-66804: Microsoft Windows Cross Device Service 권한 상승 취약점

MSRC에 보고한 CrossDevice/FrameServer LPE(로컬 권한 상승)에 대한 개념 증명(PoC)으로, CVE-2026-66804로 배정되었습니다. Windows 10 및 Windows 11에 영향을 줍니다.

취약점

Windows는 이 머신 전체에 적용되는 COM 서버를 등록합니다:

HKLM\SOFTWARE\Classes\CLSID\{E9F83CF2-E0C0-4CA7-AF01-E90C70BEF496}\InprocServer32
%PROGRAMDATA%\CrossDevice\CrossDevice.Streaming.Source.dll

테스트한 취약한 설치 환경에서는 C:\ProgramData\CrossDevice 디렉터리가 존재하지 않았으며, 일반 사용자가 이를 생성할 수 있었습니다. 등록된 DLL을 해당 위치에 배치하고 Media Foundation 가상 카메라를 시작하면 FrameServer가 세션 0에서 NT AUTHORITY\LOCAL SERVICE 권한으로 해당 DLL을 로드하게 됩니다.

그런 다음 PoC는 내장된 SigmaPotato 헬퍼를 통해 LocalService 토큰의 SeImpersonatePrivilege를 사용하여 SYSTEM 권한을 획득하고 활성 데스크톱에서 일반 cmd.exe를 실행합니다. SigmaPotato는 마지막 범용 권한 전환 단계입니다. 이 PoC가 입증하는 Microsoft 보안 경계 실패는 그 이전 단계, 즉 FrameServer에서 공격자가 제어하는 DLL이 로드되는 지점입니다.

이 PoC는 Windows 11 빌드 26200.8875 및 29617.1000에서 테스트되었습니다.

실행

대상 디렉터리가 이미 존재해서는 안 됩니다. 관리자 권한이 없는 일반 명령 프롬프트에서 다음을 실행합니다:

CrossDeviceLPE.exe

이것으로 끝입니다. 이제 다음이 표시될 것입니다:

nt authority\system

실행 파일에는 모든 런타임 구성 요소가 포함되어 있으므로 추가 파일이나 명령줄 인수가 필요하지 않습니다.

이 PoC에는 SigmaPotato 1.2.6 및 VCamSample 빌드가 포함되어 있습니다. 해당 라이선스는 third_party/에 있습니다.

빌드

이 저장소에는 런처와 페이로드 소스, 그리고 오프라인 빌드에 필요한 두 개의 고정(pinned) 타사 바이너리가 포함되어 있습니다. Linux에서 MinGW-w64 GCC 툴체인을 설치하고 다음을 실행합니다:

./build.sh