CVE-2026-41091-PoC-Exploit Full-PoCv2
CVE-2026-41091 RedSun | ثغرة LPE في Microsoft Defender. يحصل المستخدمون ذوو الامتيازات المنخفضة على NT AUTHORITY\SYSTEM 🔥 عبر Cloud Files API وحيل NTFS junction. تُجبر Defender على كتابة حمولات خبيثة إلى System32 بصلاحيات SYSTEM. ⚠️ تُستغل بنشاط في البرية. CVSS 7.8. التصحيح: Defender Engine 1.1.26040.8. 🛡️ لأغراض تعليمية فقط (PoC).
☀️ CVE-2026-41091 - RedSun (SolarFlare) - استغلال تصعيد الامتيازات المحلي في Microsoft Defender
ثغرة متابعة الروابط في Microsoft Defender - تصعيد امتيازات محلي إلى NT AUTHORITY\SYSTEM
تُعرف الثغرة باسم "RedSun" 🎯، أما "SolarFlare" فهو الاسم الذي أطلقته على استغلالي. ✅
📌 نظرة عامة
يحتوي هذا المستودع على استغلال إثبات مفهوم (PoC) كامل وعامل لثغرة CVE-2026-41091، وهي ثغرة حرجة لتصعيد الامتيازات محليًا في Microsoft Defender (محرك الحماية من البرامج الضارة من Microsoft). من خلال استغلال معالجة الروابط غير الصحيحة (CWE-59)، يمكن لمهاجم مصادَق بصلاحيات منخفضة الحصول على صلاحيات NT AUTHORITY\SYSTEM.
تسمح الثغرة، المعروفة أيضًا باسم "RedSun" أو "SolarFlare"، للمهاجمين بخداع Microsoft Defender لكتابة ملفات تعسفية إلى مواقع نظام محمية بصلاحيات SYSTEM باستخدام Cloud Files API (CfAPI) ونقاط اتصال NTFS.
ملاحظة: يحتوي هذا المستودع على نسختين:
basic_poc.cpp- عرض مبسّط للخوارزمية (تعليمي)full_poc.cpp- استغلال كامل عامل بجميع الميزات
🔥 الميزات الرئيسية
| الفئة | الميزات |
|---|---|
| الاستغلال | ✅ تصعيد امتيازات محلي إلى SYSTEM ✅ تكامل Cloud Files API (CfAPI) ✅ إنشاء Cloud Placeholder ✅ إعادة توجيه NTFS Junction |
| التقنيات | ✅ إساءة استخدام Batch Oplock ✅ كشف لقطات VSS ✅ تشغيل EICAR ✅ تفعيل خدمة COM |
| الهدف | ✅ Microsoft Defender < 1.1.26040.8 ✅ Windows 10/11 ✅ Windows Server 2019/2022 |
| سهولة الاستخدام | ✅ تسجيل مفصّل ✅ معالجة الأخطاء ✅ أسماء مجلدات عشوائية ✅ تنظيف تلقائي |
🎯 تفاصيل الثغرة
| السمة | القيمة |
|---|---|
| معرّف CVE | CVE-2026-41091 |
| درجة CVSS | 7.8 (عالي) |
| متجه CVSS | AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H |
| متجه الهجوم | محلي |
| الصلاحيات المطلوبة | منخفضة |
| تفاعل المستخدم | لا شيء |
| التأثير | تنفيذ كود بمستوى SYSTEM |
| CISA KEV | ✅ نعم (تم استغلالها بنشاط في البرية) |
| التصحيح المتاح | Microsoft Malware Protection Engine 1.1.26040.8 |
📦 المنتجات المتأثرة
| المنتج | الإصدارات المتأثرة | الإصدارات المُصححة |
|---|---|---|
| Microsoft Malware Protection Engine | < 1.1.26040.8 | 1.1.26040.8+ |
| Microsoft Defender Antimalware Platform | < 4.18.26040.7 | 4.18.26040.7+ |
🔬 سلسلة الاستغلال
┌─────────────────────────────────────────────────────────────────────────────┐
│ SOLARFLARE EXPLOIT CHAIN │
├─────────────────────────────────────────────────────────────────────────────┤
│ │
│ 1. Create Working Directory │
│ └─> %TEMP%\SF-XXXX\ │
│ │
│ 2. Trigger Defender with EICAR │
│ └─> Write reversed EICAR to bait file │
│ │
│ 3. Wait for VSS Snapshot │
│ └─> Detect Volume Shadow Copy creation │
│ │
│ 4. Create First Batch Oplock │
│ └─> FSCTL_REQUEST_BATCH_OPLOCK on bait file │
│ │
│ 5. Wait for Oplock Break │
│ └─> Acquire exclusive access │
│ │
│ 6. Rename Directory │
│ └─> Move original directory to .tmp │
│ │
│ 7. Register Cloud Sync Root │
│ └─> CfRegisterSyncRoot with Cloud Files API │
│ │
│ 8. Create Cloud Placeholder │
│ └─> CfCreatePlaceholders for bait file │
│ │
│ 9. Create Second Batch Oplock │
│ └─> FSCTL_REQUEST_BATCH_OPLOCK on cloud placeholder │
│ │
│ 10. Wait for Second Oplock Break │
│ └─> Acquire exclusive access │
│ │
│ 11. Rename Cloud Directory │
│ └─> Move cloud directory to .cloud.tmp │
│ │
│ 12. Create NTFS Junction to System32 │
│ └─> Redirect to C:\Windows\System32 │
│ │
│ 13. Copy Payload to System32 │
│ └─> Copy bait file to System32 as TieringEngineService.exe │
│ │
│ 14. Activate Service as SYSTEM │
│ └─> CoCreateInstance(StorageTiersManagement) │
│ │
└─────────────────────────────────────────────────────────────────────────────┘
📦 التثبيت
المتطلبات الأساسية
- Windows 10/11 أو Windows Server 2019/2022
- Visual Studio 2019/2022 مع أدوات C++
- صلاحيات إدارية (للتنفيذ)
البناء
# Clone the repository
git clone https://github.com/tc4dy/CVE-2026-41091-PoC-Exploit
cd CVE-2026-41091-PoC-Exploit
# Build using Visual Studio Developer Command Prompt
cl.exe /EHsc /std:c++17 full_poc.cpp /link cfapi.lib ntdll.lib
# Or build basic version
cl.exe /EHsc /std:c++17 basic_poc.cpp /link ntdll.lib
🛠️ الاستخدام
الاستغلال الكامل (تصعيد الامتيازات إلى SYSTEM)
full_poc.exe
عرض الخوارزمية الأساسي
basic_poc.exe
📋 مثال على المخرجات
مخرجات الاستغلال الكامل
CVE-2026-41091 SolarFlare PoC
===============================
by @tc4dy | CVSS 7.8
===============================