CVE-2026-41091-PoC-Exploit Full-PoCv2
CVE-2026-41091 RedSun | Exploit LPE di Microsoft Defender. Utenti con privilegi ridotti ottengono NT AUTHORITY\SYSTEM 🔥 tramite API Cloud Files + trucco junction NTFS. Costringe Defender a scrivere payload dannosi in System32 con diritti SYSTEM. ⚠️ Attivamente sfruttato in natura. CVSS 7.8. Patch: Defender Engine 1.1.26040.8. 🛡️ Solo PoC educativo.
☀️ CVE-2026-41091 - RedSun (SolarFlare) - Exploit LPE per Microsoft Defender
Vulnerabilità di Link Following in Microsoft Defender - Escalation di privilegi locali a NT AUTHORITY\SYSTEM
La vulnerabilità è nota come "RedSun" 🎯, "SolarFlare" è il nome che ho dato al mio exploit. ✅
📌 Panoramica
Questo repository contiene un Proof of Concept (PoC) funzionante completo per CVE-2026-41091, una vulnerabilità critica di escalation di privilegi locali in Microsoft Defender (Microsoft Malware Protection Engine). Sfruttando una risoluzione impropria dei link (CWE-59), un utente malintenzionato autenticato con bassi privilegi può ottenere privilegi NT AUTHORITY\SYSTEM.
La vulnerabilità, nota anche come "RedSun" o "SolarFlare", consente agli aggressori di ingannare Microsoft Defender per scrivere file arbitrari in posizioni di sistema protette con privilegi SYSTEM utilizzando l'API Cloud Files (CfAPI) e i punti di giunzione NTFS.
Nota: Questo repository include due versioni:
basic_poc.cpp- Dimostrazione semplificata dell'algoritmo (didattica)full_poc.cpp- Exploit completo funzionante con tutte le funzionalità
🔥 Caratteristiche principali
| Categoria | Funzionalità |
|---|---|
| Sfruttamento | ✅ Escalation di privilegi locali a SYSTEM ✅ Integrazione con Cloud Files API (CfAPI) ✅ Creazione di segnaposto cloud ✅ Reindirizzamento tramite giunzione NTFS |
| Tecniche | ✅ Abuso di Batch Oplock ✅ Rilevamento snapshot VSS ✅ Trigger EICAR ✅ Attivazione servizio COM |
| Target | ✅ Microsoft Defender < 1.1.26040.8 ✅ Windows 10/11 ✅ Windows Server 2019/2022 |
| Usabilità | ✅ Logging dettagliato ✅ Gestione errori ✅ Nomi di directory casuali ✅ Pulizia automatica |
🎯 Dettagli della vulnerabilità
| Attributo | Valore |
|---|---|
| ID CVE | CVE-2026-41091 |
| Punteggio CVSS | 7.8 (Alto) |
| Vettore CVSS | AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H |
| Vettore d'attacco | Locale |
| Privilegi richiesti | Bassi |
| Interazione utente | Nessuna |
| Impatto | Esecuzione di codice a livello SYSTEM |
| CISA KEV | ✅ Sì (sfruttato attivamente in natura) |
| Patch disponibile | Microsoft Malware Protection Engine 1.1.26040.8 |
📦 Prodotti interessati
| Prodotto | Versioni affette | Versioni corrette |
|---|---|---|
| Microsoft Malware Protection Engine | < 1.1.26040.8 | 1.1.26040.8+ |
| Microsoft Defender Antimalware Platform | < 4.18.26040.7 | 4.18.26040.7+ |
🔬 Catena di sfruttamento
┌─────────────────────────────────────────────────────────────────────────────┐
│ CATENA DI SFRUTTAMENTO SOLARFLARE │
├─────────────────────────────────────────────────────────────────────────────┤
│ │
│ 1. Crea directory di lavoro │
│ └─> %TEMP%\SF-XXXX\ │
│ │
│ 2. Attiva Defender con EICAR │
│ └─> Scrivi EICAR rovesciato nel file esca │
│ │
│ 3. Attendi snapshot VSS │
│ └─> Rileva creazione di Volume Shadow Copy │
│ │
│ 4. Crea primo Batch Oplock │
│ └─> FSCTL_REQUEST_BATCH_OPLOCK sul file esca │
│ │
│ 5. Attendi rottura Oplock │
│ └─> Ottieni accesso esclusivo │
│ │
│ 6. Rinomina directory │
│ └─> Sposta directory originale in .tmp │
│ │
│ 7. Registra radice di sincronizzazione cloud │
│ └─> CfRegisterSyncRoot con API Cloud Files │
│ │
│ 8. Crea segnaposto cloud │
│ └─> CfCreatePlaceholders per il file esca │
│ │
│ 9. Crea secondo Batch Oplock │
│ └─> FSCTL_REQUEST_BATCH_OPLOCK sul segnaposto cloud │
│ │
│ 10. Attendi seconda rottura Oplock │
│ └─> Ottieni accesso esclusivo │
│ │
│ 11. Rinomina directory cloud │
│ └─> Sposta directory cloud in .cloud.tmp │
│ │
│ 12. Crea giunzione NTFS verso System32 │
│ └─> Reindirizza a C:\Windows\System32 │
│ │
│ 13. Copia payload in System32 │
│ └─> Copia file esca in System32 come TieringEngineService.exe │
│ │
│ 14. Attiva servizio come SYSTEM │
│ └─> CoCreateInstance(StorageTiersManagement) │
│ │
└─────────────────────────────────────────────────────────────────────────────┘
📦 Installazione
Prerequisiti
- Windows 10/11 o Windows Server 2019/2022
- Visual Studio 2019/2022 con strumenti C++
- Privilegi amministrativi (per l'esecuzione)
Compilazione
# Clona il repository
git clone https://github.com/tc4dy/CVE-2026-41091-PoC-Exploit
cd CVE-2026-41091-PoC-Exploit
# Compila usando il Prompt dei comandi per sviluppatori di Visual Studio
cl.exe /EHsc /std:c++17 full_poc.cpp /link cfapi.lib ntdll.lib
# Oppure compila la versione base
cl.exe /EHsc /std:c++17 basic_poc.cpp /link ntdll.lib
🛠️ Utilizzo
Exploit completo (Escalation di privilegi a SYSTEM)
full_poc.exe
Dimostrazione semplice dell'algoritmo
basic_poc.exe
📋 Esempio di output
Output dell'exploit completo
CVE-2026-41091 SolarFlare PoC
===============================
by @tc4dy | CVSS 7.8
===============================