🛡️ CVE-2026-41091 - RedSun

Microsoft Defender विशेषाधिकार उन्नयन भेद्यता

RedSun एक स्थानीय विशेषाधिकार वृद्धि (LPE) तकनीक (और संबंधित PoC) है जो Microsoft Defender के मैलवेयर प्रोटेक्शन इंजन में लिंक-फॉलोइंग भेद्यता का दुरुपयोग करती है। यह एक निम्न-विशेषाधिकार प्राप्त प्रमाणित हमलावर को डिफ़ेंडर के सुधार और क्लाउड फ़ाइल रोलबैक तंत्र को धोखा देकर SYSTEM विशेषाधिकार प्राप्त करने की अनुमति देती है, जिससे हमलावर-नियंत्रित फ़ाइलों को संरक्षित निर्देशिकाओं (जैसे, C:\Windows\System32) में लिखा जा सके।

📋 अवलोकन

• CVE ID: CVE-2026-41091
• भेद्यता प्रकार: फ़ाइल एक्सेस से पहले अनुचित लिंक समाधान (CWE-59 - लिंक फॉलोइंग)
• प्रभावित घटक: Microsoft मैलवेयर प्रोटेक्शन इंजन
• मूल कारण: डिफ़ेंडर क्लाउड-टैग की गई फ़ाइलों के सुधार/रोलबैक के दौरान लिंक/जंक्शन को ठीक से हल करने में विफल रहता है, जिससे विशेषाधिकार प्राप्त लेखन का पुनर्निर्देशन होता है।
• प्रभाव: स्थानीय प्रमाणित हमलावर मानक उपयोगकर्ता से SYSTEM विशेषाधिकार तक पहुँच सकता है।
• सार्वजनिक PoC: सुरक्षा शोधकर्ता Nightmare-Eclipse द्वारा जारी (शृंखला का भाग जिसमें BlueHammer और UnDefend शामिल हैं)।

"जब विंडोज डिफ़ेंडर को पता चलता है कि एक दुर्भावनापूर्ण फ़ाइल में क्लाउड टैग है... तो एंटीवायरस निर्णय लेता है कि फ़ाइल को फिर से लिखना एक अच्छा विचार है... PoC इस व्यवहार का दुरुपयोग करके सिस्टम फ़ाइलों को अधिलेखित करता है।" — Nightmare-Eclipse

🛠️ तकनीकी विवरण

RedSun क्लाउड फ़ाइलों API, ऑपलॉक्स, डायरेक्टरी जंक्शन और सुधार पथों (विशेषकर TieringEngineService.exe / रीयल-टाइम स्कैन क्लीनअप में) के डिफ़ेंडर के हैंडलिंग का लाभ उठाता है।

क्लाउड गुणों वाली एक दुर्भावनापूर्ण फ़ाइल रखकर और पथों (जंक्शन/सिमलिंक) में हेरफेर करके, शोषण डिफ़ेंडर (SYSTEM के रूप में चल रहे) को फ़ाइल को एक विशेषाधिकार प्राप्त स्थान पर पुनर्स्थापित/पुनर्लिखित करने का कारण बनता है, जिससे मनमानी फ़ाइल लेखन → SYSTEM के रूप में कोड निष्पादन संभव होता है।

मुख्य तकनीकें:

• क्लाउड फ़ाइल टैगिंग और रोलबैक
• डायरेक्टरी जंक्शन / रिपार्स पॉइंट
• रेस कंडीशन (TOCTOU-जैसा व्यवहार)
• विशेषाधिकार प्राप्त डिफ़ेंडर सेवाओं का अपहरण

📊 भेद्यता मीट्रिक

🗓️ समयरेखा

• ~15-16 अप्रैल, 2026: RedSun PoC को Nightmare-Eclipse द्वारा GitHub पर सार्वजनिक रूप से जारी किया गया (Nightmare-Eclipse/RedSun)।
• अप्रैल 2026: संबंधित BlueHammer (CVE-2026-33825) पैच किया गया।
• 19-20 मई, 2026: Microsoft ने CVE-2026-41091 (RedSun) और संबंधित मुद्दों के लिए पैच जारी किए।
• 20 मई, 2026: CISA ने ज्ञात शोषित भेद्यता (KEV) कैटलॉग में जोड़ा।
• 21 मई, 2026: व्यापक सार्वजनिक रिपोर्टिंग।

✅ शमन और पैच

तुरंत अपडेट करें — भेद्यता सक्रिय रूप से शोषित है।

सत्यापन और अपडेट कैसे करें

# वर्तमान डिफ़ेंडर इंजन संस्करण जाँचें
Get-MpComputerStatus | Select-Object AMEngineVersion, AMProductVersion

# बलपूर्वक अपडेट
Update-MpEngine

• अनुशंसित संस्करण:
  • मैलवेयर प्रोटेक्शन इंजन: 1.1.26040.8 या नया
  • एंटीमैलवेयर प्लेटफ़ॉर्म: 4.18.26040.7 या नया

अतिरिक्त अनुशंसाएँ:

• रीयल-टाइम सुरक्षा और स्वचालित अपडेट सक्षम करें।
• C:\Windows\System32 में संदिग्ध गतिविधि, डिफ़ेंडर सुधार लॉग और असामान्य TieringEngineService.exe व्यवहार पर नज़र रखें।
• विंडोज अपडेट / डिफ़ेंडर हस्ताक्षर अपडेट लागू करें।

🧪 शोषण

आवश्यकताएँ:

• निम्न-विशेषाधिकार वाला स्थानीय खाता
• डिफ़ेंडर रीयल-टाइम सुरक्षा सक्षम

प्रभाव:

• पूर्ण SYSTEM पहुँच
• स्थायित्व, क्रेडेंशियल डंपिंग, सुरक्षा अक्षम करना आदि की संभावना।

सार्वजनिक PoC रिपॉजिटरी: 0xBlackash/RedSun

⚠️ नोट: यह केवल शैक्षिक और रक्षात्मक उद्देश्यों के लिए है। पृथक वातावरण में परीक्षण करें।

🔗 संदर्भ

• Microsoft सुरक्षा सलाहकार
• NVD प्रविष्टि
• CISA KEV कैटलॉग
• संबंधित: BlueHammer (CVE-2026-33825) और UnDefend

👏 क्रेडिट

• Microsoft सुरक्षा प्रतिक्रिया केंद्र (MSRC)
• सुरक्षा शोधकर्ता और विक्रेता जिन्होंने वास्तविक दुनिया की गतिविधि का विश्लेषण और रिपोर्ट किया (Huntress, Fabian Bader, आदि।)

सुरक्षा समुदाय के लिए ❤️ के साथ बनाया गया

अंतिम अपडेट: 21 मई, 2026