SolarFlare

CVE-2026-41091 - RedSun (SolarFlare) - Toolkit de Exploração de LPE do Microsoft Defender

> Aviso Legal e Uso Responsável

Esta ferramenta é fornecida apenas para fins educacionais e de testes de penetração autorizados. Os autores e contribuidores não são responsáveis por qualquer uso indevido ou dano causado por este software. Os usuários são os únicos responsáveis por garantir que possuem permissão escrita explícita do proprietário do alvo antes de testar. O acesso não autorizado a sistemas de computador é ilegal sob as leis federais, estaduais e internacionais de crimes cibernéticos aplicáveis. Ao usar este software, você concorda em:

Usá-lo apenas em sistemas que você possui ou tem permissão explícita para testar.
Cumprir todas as leis locais, estaduais e federais aplicáveis.
Não usá-lo para quaisquer atividades maliciosas, destrutivas ou ilegais.

[!] AVISO: Vulnerabilidades de elevação de privilégio no Active Directory apresentam alto risco para a infraestrutura empresarial. Testes não autorizados são estritamente proibidos.

Vulnerabilidade de Seguimento de Link do Microsoft Defender - Escalação de Privilégio Local para NT AUTHORITY\SYSTEM

A vulnerabilidade é conhecida como "RedSun", "SolarFlare" é o nome que dei ao meu exploit.

[<] Visão Geral

Este repositório contém um Proof of Concept (PoC) completo e funcional de exploit para CVE-2026-41091, uma vulnerabilidade crítica de escalação de privilégio local no Microsoft Defender (Microsoft Malware Protection Engine). Ao explorar a resolução inadequada de links (CWE-59), um atacante autenticado com baixos privilégios pode obter privilégios de NT AUTHORITY\SYSTEM.

A vulnerabilidade, também conhecida como "RedSun" ou "SolarFlare", permite que atacantes enganem o Microsoft Defender para gravar arquivos arbitrários em locais protegidos do sistema com privilégios de SYSTEM usando a Cloud Files API (CfAPI) e pontos de junção NTFS.

Nota: Este repositório inclui duas versões:

basic_poc.cpp - Demonstração simplificada do algoritmo (educacional)

full_poc.cpp - Exploit completo e funcional com todos os recursos

[-<] Principais Recursos

Categoria	Recurso	`basic_poc.cpp`	`full_poc.cpp`
Exploração	Escalação de Privilégio Local para SYSTEM	`[+]`	`[+]`
	Integração com Cloud Files API (CfAPI)	`[-]`	`[+]`
	Criação de Cloud Placeholder	`[-]`	`[+]`
	Redirecionamento via Ponto de Junção NTFS	`[~]`	`[+]`
	Ativação de Serviço COM	`[-]`	`[+]`
Técnicas	Abuso de Batch Oplock	`[+]`	`[+]`
	Detecção de Snapshot VSS	`[+]`	`[+]`
	Gatilho EICAR	`[+]`	`[+]`
	Ponto de Reparse NTFS (Mount Point)	`[+]`	`[+]`
	File Disposition (NtSetInformationFile)	`[-]`	`[+]`
	Detecção de Session ID via Named Pipe	`[-]`	`[+]`
	Lançamento de Sessão de Console (conhost.exe)	`[-]`	`[+]`
	WaitOnAddress / WakeByAddress	`[-]`	`[+]`
	Verificação de SYSTEM	`[-]`	`[+]`
Alvo	Microsoft Defender < 1.1.26040.8	`[+]`	`[+]`
	Windows 10/11	`[+]`	`[+]`
	Windows Server 2016	`[+]`	`[+]`
	Windows Server 2019/2022	`[+]`	`[+]`
	Somente x64	`[+]`	`[+]`
Usabilidade	Logging Estruturado	`[~]`	`[+]`
	Tratamento de Erros	`[~]`	`[+]`
	Nomes de Diretório Aleatórios	`[+]`	`[+]`
	Limpeza Automática	`[~]`	`[+]`
	Lógica de Retry (NtCreateFile)	`[-]`	`[+]`

[i] Detalhes da Vulnerabilidade

Atributo	Valor
ID do CVE	CVE-2026-41091
Pontuação CVSS	7.8 (Alta)
Vetor CVSS	AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
Vetor de Ataque	Local
Privilégios Necessários	Baixos
Interação do Usuário	Nenhuma
Impacto	Execução de código em nível SYSTEM
CISA KEV	[+] Sim (explorado ativamente na natureza)
Correção Disponível	Microsoft Malware Protection Engine 1.1.26040.8

[c] Produtos Afetados

Produto	Versões Afetadas	Versões Corrigidas
Microsoft Malware Protection Engine	< 1.1.26040.8	1.1.26040.8+
Microsoft Defender Antimalware Platform	< 4.18.26040.7	4.18.26040.7+

Mais Populares

Sobre

CVE-2026-41091-PoC-Exploit