SolarFlare

CVE-2026-41091 - RedSun (SolarFlare) - Toolkit di Exploit LPE per Microsoft Defender

> Esclusione di responsabilità legale e uso responsabile

Questo strumento è fornito esclusivamente a scopo educativo e per test di penetrazione autorizzati. Gli autori e i contributori non sono responsabili per qualsiasi uso improprio o danno causato da questo software. Gli utenti sono gli unici responsabili di assicurarsi di disporre di un'esplicita autorizzazione scritta dal proprietario del sistema di destinazione prima di eseguire i test. L'accesso non autorizzato ai sistemi informatici è illegale ai sensi delle leggi federali, statali e internazionali applicabili in materia di criminalità informatica. Utilizzando questo software, accetti di:

Utilizzarlo solo su sistemi di tua proprietà o per i quali disponi di esplicita autorizzazione ai test.
Rispettare tutte le leggi locali, statali e federali applicabili.
Non utilizzarlo per attività malevole, distruttive o illegali.

[!] AVVISO: Le vulnerabilità di elevazione dei privilegi in Active Directory presentano un rischio elevato per le infrastrutture aziendali. I test non autorizzati sono severamente vietati.

Vulnerabilità di Link Following in Microsoft Defender - Escalation di privilegi locale a NT AUTHORITY\SYSTEM

La vulnerabilità è nota come "RedSun", "SolarFlare" è il nome che ho dato al mio exploit.

[<] Panoramica

Questo repository contiene un Proof of Concept (PoC) completo e funzionante per CVE-2026-41091, una vulnerabilità critica di escalation di privilegi locale in Microsoft Defender (Microsoft Malware Protection Engine). Sfruttando una risoluzione impropria dei link (CWE-59), un attaccante autenticato con privilegi bassi può ottenere i privilegi di NT AUTHORITY\SYSTEM.

La vulnerabilità, nota anche come "RedSun" o "SolarFlare", consente agli attaccanti di indurre Microsoft Defender a scrivere file arbitrari in posizioni di sistema protette con privilegi SYSTEM, utilizzando la Cloud Files API (CfAPI) e i punti di giunzione NTFS.

Nota: Questo repository include due versioni:

basic_poc.cpp - Dimostrazione semplificata dell'algoritmo (educativa)

full_poc.cpp - Exploit completo e funzionante con tutte le funzionalità

[-<] Caratteristiche principali

Categoria	Funzionalità	`basic_poc.cpp`	`full_poc.cpp`
Sfruttamento	Escalation di privilegi locale a SYSTEM	`[+]`	`[+]`
	Integrazione Cloud Files API (CfAPI)	`[-]`	`[+]`
	Creazione di Cloud Placeholder	`[-]`	`[+]`
	Redirezione tramite punto di giunzione NTFS	`[~]`	`[+]`
	Attivazione del servizio COM	`[-]`	`[+]`
Tecniche	Abuso di Batch Oplock	`[+]`	`[+]`
	Rilevamento snapshot VSS	`[+]`	`[+]`
	Trigger EICAR	`[+]`	`[+]`
	Punto di reparse NTFS (Mount Point)	`[+]`	`[+]`
	File Disposition (NtSetInformationFile)	`[-]`	`[+]`
	Rilevamento Session ID tramite Named Pipe	`[-]`	`[+]`
	Avvio della sessione console (conhost.exe)	`[-]`	`[+]`
	WaitOnAddress / WakeByAddress	`[-]`	`[+]`
	Verifica SYSTEM	`[-]`	`[+]`
Target	Microsoft Defender < 1.1.26040.8	`[+]`	`[+]`
	Windows 10/11	`[+]`	`[+]`
	Windows Server 2016	`[+]`	`[+]`
	Windows Server 2019/2022	`[+]`	`[+]`
	solo x64	`[+]`	`[+]`
Usabilità	Logging strutturato	`[~]`	`[+]`
	Gestione degli errori	`[~]`	`[+]`
	Nomi di directory casuali	`[+]`	`[+]`
	Pulizia automatica	`[~]`	`[+]`
	Logica di retry (NtCreateFile)	`[-]`	`[+]`

[i] Dettagli della vulnerabilità

Attributo	Valore
CVE ID	CVE-2026-41091
Punteggio CVSS	7.8 (Alto)
Vettore CVSS	AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
Vettore di attacco	Locale
Privilegi richiesti	Bassi
Interazione utente	Nessuna
Impatto	Esecuzione di codice a livello SYSTEM
CISA KEV	[+] Sì (sfruttata attivamente in the wild)
Patch disponibile	Microsoft Malware Protection Engine 1.1.26040.8

[c] Prodotti interessati

Prodotto	Versioni interessate	Versioni corrette
Microsoft Malware Protection Engine	< 1.1.26040.8	1.1.26040.8+
Microsoft Defender Antimalware Platform	< 4.18.26040.7	4.18.26040.7+

Più Popolari

Informazioni

CVE-2026-41091-PoC-Exploit