rat5ak/cve-2026-66804-crossdevice-service-eopCVE-2026-66804 Windows 크로스 디바이스 가상 카메라 권한 상승 - 표준 사용자에서 SYSTEM으로
저는 현재 CVE-2026-66804로 추적되는 이 문제를 독자적으로 발견하여 보고했습니다. MSRC는 동일한 근본 원인(Windows Camera FrameServer)을 가진 이전 보고서의 중복으로 제 제출을 확인했습니다.
일반 Windows 사용자는 C:\ProgramData\CrossDevice 아래에 존재하지 않는 신뢰 경로를 생성하고, 등록된 Cross Device 가상 카메라 COM DLL을 식재한 다음, Windows Camera Frame Server가 공격자가 제어하는 코드를 NT AUTHORITY\LOCAL SERVICE 권한으로 로드하도록 만들 수 있습니다. 포함된 PoC 체인은 서비스 토큰의 활성화된 SeImpersonatePrivilege를 사용하여 NT AUTHORITY\SYSTEM 권한을 획득합니다.
신규 VM의 누락 경로에서 SYSTEM 권한 획득까지의 주요 영상
| CVE | CVE-2026-66804 |
| Microsoft 명칭 | Microsoft Windows Cross Device Service Elevation of Privilege Vulnerability |
| MSRC 사례 | 119805 |
| MSRC 제출 번호 | VULN-192287 |
| MSRC 처리 결과 | Complete - Duplicate |
| Microsoft 크레딧 표기 | Daniel Wade with nadsec |
| 공개일 | 2026-08-11 |
| Microsoft 심각도 | 중요 |
| Microsoft CVSS | 7.8 High - CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H |
| Microsoft CWE | CWE-284: Improper Access Control |
| 버그 유형 | 누락 경로 DLL 식재 / COM 개체 하이재킹 |
| 구성 요소 | Cross Device Virtual Camera / Windows Camera FrameServer |
| COM 클래스 | {E9F83CF2-E0C0-4CA7-AF01-E90C70BEF496} |
| 주요 테스트 빌드 | Windows 11 Pro 25H2 build 26200.8524 |
| 영향 | 로컬 일반 사용자에서 NT AUTHORITY\SYSTEM으로 |
Windows는 Cross Device 가상 카메라 COM 서버를 다음 위치에 등록했습니다:
%PROGRAMDATA%\CrossDevice\CrossDevice.Streaming.Source.dll
검증에 사용된 신규/기본 Windows 11 VM에서 시스템 전체 등록이 해당 경로의 실제 디렉터리보다 먼저 존재했습니다. 일반 사용자가 누락된 디렉터리를 생성하고 예상된 DLL을 식재한 다음 가상 카메라 API를 호출했습니다. Camera Frame Server는 DLL을 LOCAL SERVICE 권한으로 로드했고, 이후 PoC 체인은 SYSTEM 토큰을 획득하여 보호 경로에 결과 파일(receipt)을 작성했습니다.
이것은 누락 경로 또는 사전 초기화(pre-initialization) 문제입니다. 일반 사용자가 기존의 보호된 Microsoft DLL을 덮어쓸 수 있다는 주장이 아닙니다.
관련된 시스템 전체 등록은 다음과 같습니다:
HKLM\SOFTWARE\Classes\CLSID\{E9F83CF2-E0C0-4CA7-AF01-E90C70BEF496}\InProcServer32
(Default) REG_EXPAND_SZ %PROGRAMDATA%\CrossDevice\CrossDevice.Streaming.Source.dll
시연된 공격 체인은 다음과 같습니다:
C:\ProgramData\CrossDevice가 존재하지 않음을 확인합니다.SeImpersonatePrivilege가 있음을 확인합니다.NT AUTHORITY\SYSTEM 권한으로 보호 경로에 결과 파일(receipt)을 작성합니다.이 PoC는 본인이 소유했거나 명시적으로 테스트 권한을 부여받은 일회용 취약 실습 VM에서만 실행하세요. 사용 전에 VM 스냅샷을 생성하세요.
일반 사용자 명령 프롬프트에서:
cd /d path\to\fresh-vm-repro
Run-CrossDevicePoC.cmd
실행 스크립트는 예상된 등록을 검증하며, 기존에 존재하는 Cross Device 디렉터리나 예상치 못한 도우미 바이너리는 건드리지 않습니다. 실행에 성공하면 LOCAL SERVICE, 권한, SYSTEM 결과 파일(receipt)이 생성됩니다.
전체 사전 요구 사항, 예상 결과, 해시, 빌드 명령 및 정리 단계는 fresh-vm-repro/README.md에 있습니다.
두 영상 모두 이 사례의 상호 보완적인 부분을 기록하므로 보존했습니다.
| 영상 | 역할 |
|---|---|
fresh-vm-missing-path-to-system.mp4 | 신규/기본 VM 재검증의 주요 영상으로, 일반 사용자의 DLL 식재, LOCAL SERVICE 실행, SYSTEM 결과 파일(receipt)을 보여줍니다. 터미널 스크롤백을 통해 이전의 누락 경로 상태를 검토하며, 녹화본(transcript)은 생성 전 출력을 명시적으로 보존합니다. |
캡처된 신규 VM 콘솔 출력은 fresh-vm-transcript.txt에 보존되어 있습니다.
docs/technical-report.mddocs/msrc-fresh-vm-clarification.mddocs/archive/OXID 해석기, named-pipe 가장, OBJREF 구성, SYSTEM 토큰 획득 로직의 일부는 BeichenDream 및 기여자들의 GodPotato에서 각색되어 C로 번역되었습니다.
크레딧 및 라이선스 세부 사항은 THIRD_PARTY_NOTICES.md와 LICENSES/Apache-2.0.txt를 참조하세요.
fresh-vm-repro/docs/technical-report.md고지 사항: 이 익스플로잇 코드는 공인된 보안 연구 및 교육 목적으로만 제공됩니다. 소유하지 않았거나 명시적 테스트 허가를 받지 않은 시스템에는 사용하지 마세요. 일회용 실습 VM에서만 실행하세요. 저자는 오용 또는 손상에 대해 책임을 지지 않습니다.
CVE-2026-66804 - 사례 119805 / 제출 번호 VULN-192287로 MSRC에 보고되었으며, 처리 결과는 Complete - Duplicate입니다.
Microsoft 크레딧 표기: Daniel Wade with nadsec.
Daniel Wade - GitHub · Twitter/X · Bluesky · Mastodon · Medium · nadsec.online
| 원래 제출물의 보조 워크스루 영상입니다. 악용 및 가장(impersonation) 체인을 더 자세히 보여줍니다. 페이로드가 처음부터 이미 존재하므로, 이 영상은 독립적인 신규 상태 증명보다는 체인 맥락을 제공합니다. |
| 날짜 | 사건 |
|---|
| 2026-06-01 | VULN-192287로 초기 보고서를 MSRC에 제출했으며, MSRC 사례 119805가 개설됨 |
| 2026-06-04 | 누락 경로/사전 초기화 설명 자료와 깨끗한 재현 아카이브를 제공함 |
| 2026-06-05 | MSRC가 설명 자료를 확인함 |
| 2026-07-27 | MSRC가 해당 동작을 확인한 후, 동일한 근본 원인(Windows Camera FrameServer)을 가진 이전 이슈의 중복으로 판단했습니다. 크레딧이 계획되었으며 현상금은 지급되지 않았습니다. |
| 2026-08-11 | Microsoft가 CVE-2026-66804를 공개하고 보안 업데이트를 배포함 |
| 2026-08-13 | Daniel Wade with nadsec 크레딧 표기 문구가 확정됨 |