CVE-2026-41091-PoC-Exploit Full-PoCv2
CVE-2026-41091 RedSun | Microsoft-Defender-LPE-Exploit. Niedrigprivilegierte Benutzer erlangen NT AUTHORITY\SYSTEM 🔥 über Cloud Files API + NTFS-Junction-Tricks. Zwingt Defender, schädliche Payloads mit SYSTEM-Rechten nach System32 zu schreiben. ⚠️ Aktiv in freier Wildbahn ausgenutzt. CVSS 7.8. Patch: Defender Engine 1.1.26040.8. 🛡️ Nur zu Bildungszwecken (PoC).
☀️ CVE-2026-41091 - RedSun (SolarFlare) - Microsoft Defender LPE-Exploit
Microsoft Defender Link-Following-Schwachstelle - Lokale Rechteausweitung auf NT AUTHORITY\SYSTEM
Die Schwachstelle ist als "RedSun" bekannt 🎯, "SolarFlare" ist der Name, den ich meinem Exploit gegeben habe. ✅
📌 Übersicht
Dieses Repository enthält einen vollständig funktionsfähigen Proof of Concept (PoC)-Exploit für CVE-2026-41091, eine kritische lokale Rechteausweitungs-Schwachstelle in Microsoft Defender (Microsoft Malware Protection Engine). Durch die Ausnutzung einer fehlerhaften Linkauflösung (CWE-59) kann ein authentifizierter Angreifer mit niedrigen Rechten NT AUTHORITY\SYSTEM-Berechtigungen erlangen.
Die Schwachstelle, auch bekannt als "RedSun" oder "SolarFlare", ermöglicht es Angreifern, Microsoft Defender dazu zu bringen, mithilfe der Cloud Files API (CfAPI) und NTFS-Junction-Points beliebige Dateien mit SYSTEM-Berechtigungen an geschützte Systemspeicherorte zu schreiben.
Hinweis: Dieses Repository enthält zwei Versionen:
basic_poc.cpp- Einfache Algorithmus-Demonstration (zu Lehrzwecken)full_poc.cpp- Vollständiger funktionsfähiger Exploit mit allen Funktionen
🔥 Hauptfunktionen
| Kategorie | Funktionen |
|---|---|
| Ausnutzung | ✅ Lokale Rechteausweitung auf SYSTEM ✅ Cloud Files API (CfAPI) Integration ✅ Erstellung von Cloud-Platzhaltern ✅ NTFS-Junction-Umleitung |
| Techniken | ✅ Batch-Oplock-Missbrauch ✅ VSS-Snapshot-Erkennung ✅ EICAR-Trigger ✅ COM-Dienstaktivierung |
| Ziel | ✅ Microsoft Defender < 1.1.26040.8 ✅ Windows 10/11 ✅ Windows Server 2019/2022 |
| Benutzerfreundlichkeit | ✅ Detaillierte Protokollierung ✅ Fehlerbehandlung ✅ Zufällige Verzeichnisnamen ✅ Automatische Bereinigung |
🎯 Schwachstellendetails
| Attribut | Wert |
|---|---|
| CVE ID | CVE-2026-41091 |
| CVSS Score | 7.8 (Hoch) |
| CVSS Vector | AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H |
| Angriffsvektor | Lokal |
| Erforderliche Rechte | Niedrig |
| Benutzerinteraktion | Keine |
| Auswirkung | Codeausführung mit SYSTEM-Rechten |
| CISA KEV | ✅ Ja (aktiv in freier Wildbahn ausgenutzt) |
| Patch verfügbar | Microsoft Malware Protection Engine 1.1.26040.8 |
📦 Betroffene Produkte
| Produkt | Betroffene Versionen | Behobene Versionen |
|---|---|---|
| Microsoft Malware Protection Engine | < 1.1.26040.8 | 1.1.26040.8+ |
| Microsoft Defender Antimalware Platform | < 4.18.26040.7 | 4.18.26040.7+ |
🔬 Exploit-Kette
┌─────────────────────────────────────────────────────────────────────────────┐
│ SOLARFLARE EXPLOIT CHAIN │
├─────────────────────────────────────────────────────────────────────────────┤
│ │
│ 1. Create Working Directory │
│ └─> %TEMP%\SF-XXXX\ │
│ │
│ 2. Trigger Defender with EICAR │
│ └─> Write reversed EICAR to bait file │
│ │
│ 3. Wait for VSS Snapshot │
│ └─> Detect Volume Shadow Copy creation │
│ │
│ 4. Create First Batch Oplock │
│ └─> FSCTL_REQUEST_BATCH_OPLOCK on bait file │
│ │
│ 5. Wait for Oplock Break │
│ └─> Acquire exclusive access │
│ │
│ 6. Rename Directory │
│ └─> Move original directory to .tmp │
│ │
│ 7. Register Cloud Sync Root │
│ └─> CfRegisterSyncRoot with Cloud Files API │
│ │
│ 8. Create Cloud Placeholder │
│ └─> CfCreatePlaceholders for bait file │
│ │
│ 9. Create Second Batch Oplock │
│ └─> FSCTL_REQUEST_BATCH_OPLOCK on cloud placeholder │
│ │
│ 10. Wait for Second Oplock Break │
│ └─> Acquire exclusive access │
│ │
│ 11. Rename Cloud Directory │
│ └─> Move cloud directory to .cloud.tmp │
│ │
│ 12. Create NTFS Junction to System32 │
│ └─> Redirect to C:\Windows\System32 │
│ │
│ 13. Copy Payload to System32 │
│ └─> Copy bait file to System32 as TieringEngineService.exe │
│ │
│ 14. Activate Service as SYSTEM │
│ └─> CoCreateInstance(StorageTiersManagement) │
│ │
└─────────────────────────────────────────────────────────────────────────────┘
📦 Installation
Voraussetzungen
- Windows 10/11 oder Windows Server 2019/2022
- Visual Studio 2019/2022 mit C++-Tools
- Administratorrechte (für die Ausführung)
Erstellen
# Clone the repository
git clone https://github.com/tc4dy/CVE-2026-41091-PoC-Exploit
cd CVE-2026-41091-PoC-Exploit
# Build using Visual Studio Developer Command Prompt
cl.exe /EHsc /std:c++17 full_poc.cpp /link cfapi.lib ntdll.lib
# Or build basic version
cl.exe /EHsc /std:c++17 basic_poc.cpp /link ntdll.lib
🛠️ Verwendung
Vollständiger Exploit (Rechteausweitung auf SYSTEM)
full_poc.exe
Basisalgorithmus-Demonstration
basic_poc.exe
📋 Beispielausgabe
Ausgabe des vollständigen Exploits
CVE-2026-41091 SolarFlare PoC
===============================
by @tc4dy | CVSS 7.8
===============================