CVE-2025-24076

Microsoft Windows Cross Device Service 권한 상승 취약점 악용

---

개요

이 스크립트는 Windows Cross Device Service의 취약점을 악용하여 Windows 11, Windows Server 2025, Windows Server 2022 23H2 (Server Core 설치) 시스템에서 권한 상승을 허용합니다.

• CVE: CVE-2025-24076
• CVSS v3.1 점수: 7.3 (중요)
• 유형: 권한 상승
• 약점: CWE-284 - 부적절한 접근 제어
• 공격 경로: 로컬
• 필요한 권한: 낮음
• 사용자 상호 작용: 필요

---

설명

이 취약점은 Windows Cross Device Service의 부적절한 접근 제어로 인해 발생하며, 낮은 권한의 로컬 공격자가 쓰기 가능한 디렉터리에 있는 중요한 DLL 파일(CrossDevice.Streaming.Source.dll)을 덮어쓸 수 있게 합니다.

사용자가 Windows "모바일 디바이스" 설정 페이지를 열면 시스템이 이 DLL을 로드합니다. 공격자가 이 DLL을 악성 DLL로 교체하면 해당 코드가 SYSTEM 권한으로 실행되어 완전한 권한 상승으로 이어집니다.

---

영향을 받는 시스템

• Windows 11 버전 24H2, 23H2, 22H2 (x64 및 ARM64)
• Windows Server 2025
• Windows Server 2022 23H2 (Server Core 설치)

---

악용 단계

1. 쓰기 가능한 디렉터리에 대상 DLL이 존재하는지 확인합니다.
2. 로드 시 SYSTEM 권한으로 코드를 실행하는 악성 DLL을 빌드합니다.
3. 복구가 가능하도록 원본 DLL을 백업합니다.
4. DLL 로드를 트리거하기 위해 사용자에게 "모바일 디바이스" 설정 페이지를 열도록 요청합니다.
5. DLL 파일이 잠금 해제될 때까지 모니터링한 후 악성 DLL로 교체합니다.
6. 시스템이 악성 DLL을 로드하면 SYSTEM 권한을 획득합니다.

---

사용 방법

1. C 소스 코드에서 악성 DLL을 컴파일하려면 gcc (MinGW)가 설치되어 있는지 확인합니다.
2. 낮은 권한의 사용자로 Python 스크립트를 실행합니다.
3. 화면의 지시에 따라 요청된 Windows 설정 페이지를 엽니다.
4. 악용 성공 여부를 확인하려면 C:\poc_only_admin_can_write_to_c.txt 파일을 확인합니다.

---

경고 및 법적 고지

• 이 악용 도구는 교육 및 연구 목적으로만 제공됩니다.
• 명시적 허가 없이 시스템에서 무단으로 사용하는 것은 불법이며 법적 처벌을 받을 수 있습니다.
• 소유한 시스템이나 통제된 실험실 환경에서만 이 악용 도구를 사용하십시오.

---

업데이트

이 취약점을 완화하려면 공식 Microsoft 업데이트를 적용하여 시스템을 패치된 상태로 유지하십시오.

---

스크립트 세부 정보

이 악용 스크립트는 Python으로 작성되었으며 gcc (MinGW)를 사용하여 악성 DLL을 컴파일합니다. 원본 DLL이 잠금 해제된 것을 감지한 후 DLL 교체를 수행하고, 시스템이 악성 DLL을 로드하면 권한 상승이 트리거됩니다.

---

스크립트 실행에 도움이 필요하거나 추가 설명이 필요하면 언제든지 문의하세요! 😊

---

작성자

• 이름: Mohammed Idrees Banyamer
• Instagram: @banyamer_security
• GitHub: https://github.com/mbanyamer
• 국가: 요르단
• 날짜: 2025-06-06