SolarFlare

CVE-2026-41091 - RedSun (SolarFlare) - Microsoft Defender LPE Exploit Toolkit

> 法的免責事項と責任ある使用

このツールは、教育および許可されたペネトレーションテストの目的にのみ提供されています。 作者および貢献者は、本ソフトウェアによる誤用や損害について一切の責任を負いません。テストを実施する前に、対象の所有者から明示的な書面による許可を得ていることを確認する責任は、ユーザー自身にあります。コンピュータシステムへの不正アクセスは、適用される連邦法、州法、および国際的なサイバー犯罪法の下で違法です。本ソフトウェアを使用することにより、以下に同意したものとみなされます:

自身が所有するシステム、またはテストの明示的な許可を得ているシステムでのみ使用すること。
適用されるすべての地方、州、および連邦法を遵守すること。
悪意のある、破壊的な、または違法な活動に使用しないこと。

[!] 警告: Active Directory の特権昇格脆弱性は、エンタープライズインフラストラクチャに対して高いリスクをもたらします。許可のないテストは固く禁止されています。

Microsoft Defender リンクフォロー脆弱性 - NT AUTHORITY\SYSTEM へのローカル特権昇格

この脆弱性は「RedSun」として知られており、「SolarFlare」は私が自身のエクスプロイトに付けた名前です。

[<] 概要

このリポジトリには、Microsoft Defender (Microsoft Malware Protection Engine) における重大なローカル特権昇格脆弱性である CVE-2026-41091 の完全に動作する概念実証 (PoC) エクスプロイトが含まれています。不適切なリンク解決 (CWE-59) を悪用することで、認証済みの低権限の攻撃者が NT AUTHORITY\SYSTEM 権限を取得できます。

**「RedSun」または「SolarFlare」**としても知られるこの脆弱性により、攻撃者は Cloud Files API (CfAPI) と NTFS ジャンクションポイントを使用して、Microsoft Defender を騙して SYSTEM 権限で保護されたシステムの場所に任意のファイルを書き込ませることができます。

注: このリポジトリには 2 つのバージョンが含まれています:

basic_poc.cpp - 簡略化されたアルゴリズムのデモンストレーション (教育用)

full_poc.cpp - すべての機能を備えた完全に動作するエクスプロイト

[-<] 主な機能

カテゴリ	機能	`basic_poc.cpp`	`full_poc.cpp`
悪用	SYSTEM へのローカル特権昇格	`[+]`	`[+]`
	Cloud Files API (CfAPI) 統合	`[-]`	`[+]`
	クラウドプレースホルダーの作成	`[-]`	`[+]`
	NTFS ジャンクションリダイレクト	`[~]`	`[+]`
	COM サービスアクティベーション	`[-]`	`[+]`
技術	バッチオポークの悪用	`[+]`	`[+]`
	VSS スナップショット検出	`[+]`	`[+]`
	EICAR トリガー	`[+]`	`[+]`
	NTFS リパースポイント (マウントポイント)	`[+]`	`[+]`
	ファイルディスポジション (NtSetInformationFile)	`[-]`	`[+]`
	名前付きパイプのセッション ID 検出	`[-]`	`[+]`
	コンソールセッションの起動 (conhost.exe)	`[-]`	`[+]`
	WaitOnAddress / WakeByAddress	`[-]`	`[+]`
	SYSTEM 検証	`[-]`	`[+]`
対象	Microsoft Defender < 1.1.26040.8	`[+]`	`[+]`
	Windows 10/11	`[+]`	`[+]`
	Windows Server 2016	`[+]`	`[+]`
	Windows Server 2019/2022	`[+]`	`[+]`
	x64 のみ	`[+]`	`[+]`
使いやすさ	構造化ログ	`[~]`	`[+]`
	エラー処理	`[~]`	`[+]`
	ランダムなディレクトリ名	`[+]`	`[+]`
	自動クリーンアップ	`[~]`	`[+]`
	リトライロジック (NtCreateFile)	`[-]`	`[+]`

[i] 脆弱性の詳細

属性	値
CVE ID	CVE-2026-41091
CVSS スコア	7.8 (High)
CVSS ベクター	AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
攻撃ベクター	ローカル
必要な権限	低
ユーザー操作	なし
影響	SYSTEM レベルのコード実行
CISA KEV	[+] はい (実際に悪用されている)
パッチの有無	Microsoft Malware Protection Engine 1.1.26040.8

[c] 影響を受ける製品

製品	影響を受けるバージョン	修正済みバージョン
Microsoft Malware Protection Engine	< 1.1.26040.8	1.1.26040.8+
Microsoft Defender Antimalware Platform	< 4.18.26040.7	4.18.26040.7+

[<>] エクスプロイトチェーン

┌─────────────────────────────────────────────────────────────────────────────
│ SOLARFLARE EXPLOIT CHAIN                                                    
├─────────────────────────────────────────────────────────────────────────────
│                                                                              
│ 1. Create Working Directory                                                 
│    └─> %TEMP%\SF-XXXX\                                                      
│                                                                             
│ 2. Trigger Defender with EICAR                                              
│    └─> Write reversed EICAR to bait file                                    
│                                                                              
│ 3. Wait for VSS Snapshot                                                    
│    └─> Detect Volume Shadow Copy creation                                   
│                                                                              
│ 4. Create First Batch Oplock                                                
│    └─> FSCTL_REQUEST_BATCH_OPLOCK on bait file                              
│                                                                              
│ 5. Wait for Oplock Break                                                    
│    └─> Acquire exclusive access                                             
│                                                                              
│ 6. Rename Directory                                                         
│    └─> Move original directory to .tmp                                      
│                                                                              
│ 7. Register Cloud Sync Root                                                 
│    └─> CfRegisterSyncRoot with Cloud Files API                              
│                                                                              
│ 8. Create Cloud Placeholder                                                 
│    └─> CfCreatePlaceholders for bait file                                  
│                                                                              
│ 9. Create Second Batch Oplock                                               
│    └─> FSCTL_REQUEST_BATCH_OPLOCK on cloud placeholder                      
│                                                                              
│ 10. Wait for Second Oplock Break                                            
│     └─> Acquire exclusive access                                            
│                                                                              
│ 11. Rename Cloud Directory                                                  
│     └─> Move cloud directory to .cloud.tmp                                  
│                                                                              
│ 12. Create NTFS Junction to System32                                        
│     └─> Redirect to C:\Windows\System32                                     
│                                                                              
│ 13. Copy Payload to System32                                                
│     └─> Copy bait file to System32 as TieringEngineService.exe              
│                                                                              
│ 14. Activate Service as SYSTEM                                              
│     └─> CoCreateInstance(StorageTiersManagement)                            
│                                                                              
└─────────────────────────────────────────────────────────────────────────────

[+] インストール

前提条件

Windows 10/11 または Windows Server 2019/2022
C++ ツールを含む Visual Studio 2019/2022
管理者権限（実行時）

ビルド

# Clone the repository
git clone https://github.com/tc4dy/CVE-2026-41091-PoC-Exploit
cd CVE-2026-41091-PoC-Exploit

# Build using Visual Studio Developer Command Prompt
cl.exe /EHsc /std:c++17 full_poc.cpp /link cfapi.lib ntdll.lib

# Or build basic version
cl.exe /EHsc /std:c++17 basic_poc.cpp /link ntdll.lib

[+] 使用方法

完全なエクスプロイト（SYSTEM 権限昇格）

full_poc.exe

基本的なアルゴリズムのデモンストレーション

basic_poc.exe

CVE-2026-41091-PoC-Exploit

人気