CVE-2026-41091 RedSun | Exploit LPE Microsoft Defender. Les utilisateurs à faibles privilèges obtiennent NT AUTHORITY\SYSTEM 🔥 via l'API Cloud Files + manipulation de jonctions NTFS. Force Defender à écrire des charges malveillantes dans System32 avec les droits SYSTEM. ⚠️ Activement exploitée dans la nature. CVSS 7.8. Correctif : Defender Engine 1.1.26040.8. 🛡️ PoC pédagogique uniquement.
Vulnérabilité de suivi de lien Microsoft Defender - Élévation de privilèges locale vers NT AUTHORITY\SYSTEM
Ce dépôt contient un exploit PoC complet et fonctionnel pour CVE-2026-41091, une vulnérabilité critique d'élévation de privilèges locale dans Microsoft Defender (Microsoft Malware Protection Engine). En exploitant une résolution de lien inappropriée (CWE-59), un attaquant authentifié disposant de privilèges limités peut obtenir les privilèges NT AUTHORITY\SYSTEM.
La vulnérabilité, également connue sous le nom de « RedSun » ou « SolarFlare », permet à un attaquant de tromper Microsoft Defender afin qu'il écrive des fichiers arbitraires dans des emplacements système protégés avec les privilèges SYSTEM en utilisant l'API Cloud Files (CfAPI) et des points de jonction NTFS.
Remarque : Ce dépôt comprend deux versions :
basic_poc.cpp- Démonstration simplifiée de l'algorithme (pédagogique)full_poc.cpp- Exploit complet et fonctionnel avec toutes les fonctionnalités
| Catégorie | Fonctionnalités |
|---|---|
| Exploitation | ✅ Élévation de privilèges locale vers SYSTEM ✅ Intégration de l'API Cloud Files (CfAPI) ✅ Création de placeholder cloud ✅ Redirection de jonction NTFS |
| Techniques | ✅ Abus d'oplock batch ✅ Détection de snapshot VSS ✅ Déclencheur EICAR ✅ Activation du service COM |
| Cible | ✅ Microsoft Defender < 1.1.26040.8 ✅ Windows 10/11 ✅ Windows Server 2019/2022 |
| Utilisation | ✅ Journalisation détaillée ✅ Gestion des erreurs ✅ Noms de répertoires aléatoires ✅ Nettoyage automatique |
| Attribut | Valeur |
|---|---|
| CVE ID | CVE-2026-41091 |
| Score CVSS | 7.8 (Élevé) |
| Vecteur CVSS | AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H |
| Vecteur d'attaque | Local |
| Privilèges requis | Faibles |
| Interaction utilisateur | Aucune |
| Impact | Exécution de code au niveau SYSTEM |
| CISA KEV | ✅ Oui (exploité activement dans la nature) |
| Correctif disponible | Microsoft Malware Protection Engine 1.1.26040.8 |
| Produit | Versions concernées | Versions corrigées |
|---|---|---|
| Microsoft Malware Protection Engine | < 1.1.26040.8 | 1.1.26040.8+ |
| Microsoft Defender Antimalware Platform | < 4.18.26040.7 | 4.18.26040.7+ |
┌─────────────────────────────────────────────────────────────────────────────┐
│ SOLARFLARE EXPLOIT CHAIN │
├─────────────────────────────────────────────────────────────────────────────┤
│ │
│ 1. Create Working Directory │
│ └─> %TEMP%\SF-XXXX\ │
│ │
│ 2. Trigger Defender with EICAR │
│ └─> Write reversed EICAR to bait file │
│ │
│ 3. Wait for VSS Snapshot │
│ └─> Detect Volume Shadow Copy creation │
│ │
│ 4. Create First Batch Oplock │
│ └─> FSCTL_REQUEST_BATCH_OPLOCK on bait file │
│ │
│ 5. Wait for Oplock Break │
│ └─> Acquire exclusive access │
│ │
│ 6. Rename Directory │
│ └─> Move original directory to .tmp │
│ │
│ 7. Register Cloud Sync Root │
│ └─> CfRegisterSyncRoot with Cloud Files API │
│ │
│ 8. Create Cloud Placeholder │
│ └─> CfCreatePlaceholders for bait file │
│ │
│ 9. Create Second Batch Oplock │
│ └─> FSCTL_REQUEST_BATCH_OPLOCK on cloud placeholder │
│ │
│ 10. Wait for Second Oplock Break │
│ └─> Acquire exclusive access │
│ │
│ 11. Rename Cloud Directory │
│ └─> Move cloud directory to .cloud.tmp │
│ │
│ 12. Create NTFS Junction to System32 │
│ └─> Redirect to C:\Windows\System32 │
│ │
│ 13. Copy Payload to System32 │
│ └─> Copy bait file to System32 as TieringEngineService.exe │
│ │
│ 14. Activate Service as SYSTEM │
│ └─> CoCreateInstance(StorageTiersManagement) │
│ │
└─────────────────────────────────────────────────────────────────────────────┘
# Clone the repository
git clone https://github.com/tc4dy/CVE-2026-41091-PoC-Exploit
cd CVE-2026-41091-PoC-Exploit
# Build using Visual Studio Developer Command Prompt
cl.exe /EHsc /std:c++17 full_poc.cpp /link cfapi.lib ntdll.lib
# Or build basic version
cl.exe /EHsc /std:c++17 basic_poc.cpp /link ntdll.lib
full_poc.exe
basic_poc.exe
CVE-2026-41091 SolarFlare PoC
===============================
by @tc4dy | CVSS 7.8
===============================