BenZamir/CVE-2026-7791

# CVE-2026-7791 PoC：默认提权 关于 **Amazon WorkSpaces 本地权限提升**（TOCTOU + Skylight Workspace Config Service 中的 SYSTEM 级任意文件写入）的研究概念验证。 完整技术细节：[Cymulate 博客](https://cymulate.com/blog/cve-2026-7791-amazon-workspaces-local-privilege-escalation/) | | | |---|---| | CVE | [CVE-2026-7791](https://nvd.nist.gov/vuln/detail/CVE-2026-7791) | | 厂商 | [AWS Security Bulletin 2026-025-AWS](https://aws.amazon.com/security/security-bulletins/) | | 修复版本 | Skylight **2.6.2034.0** | | 作者 | Ben Zamir，[Cymulate](https://cymulate.com) Research Labs | ## 许可证 **MIT** ## 此 PoC 的作用 低权限 WorkSpaces 用户可以在计划日志轮转期间滥用（以 **SYSTEM** 权限运行的）**Skylight Workspace Config Service**：`C:\ProgramData\Amazon` 下宽松的 ACL、**ROTATE** 目录联接、缺乏文件类型检查，以及首次文件移动与枚举归档文件之间约 **1–10 ms** 的 **TOCTOU** 窗口。 ## 快速开始 **仅限实验室环境。** 需要 Skylight 受漏洞影响版本（**2.6.2034.0** 之前）、标准用户，并将 payload 放置在可执行文件旁边。 ``` 1. Compile the code 2. Execute: poc.exe AutoPilot.dll "C:\Program Files\Amazon\cfn-bootstrap" ``` ``` poc.exe [target path] ``` 保持进程运行，直到触发轮转。 ## 负责任的使用 仅限在您拥有或被允许评估的系统上进行授权的安全研究和防御性测试。 ## 另请参阅 - [AWS Security Bulletin 2026-025-AWS](https://aws.amazon.com/security/security-bulletins/)

标签：Amazon WorkSpaces, PoC, TOCTOU, Web报告查看器, 客户端加密, 暴力破解, 本地提权, 端点可见性