CVE-2026-41091 RedSun | Exploit de LPE do Microsoft Defender. Utilizadores de baixo privilégio obtêm NT AUTHORITY\SYSTEM 🔥 através da Cloud Files API + truques com NTFS junctions. Força o Defender a escrever payloads maliciosos em System32 com direitos de SYSTEM. ⚠️ Explorado ativamente na natureza. CVSS 7.8. Patch: Defender Engine 1.1.26040.8. 🛡️ Apenas PoC educacional.
# CVE-2026-41091 - RedSun (SolarFlare) - Toolkit de Exploração de LPE do Microsoft Defender
[](https://isocpp.org/)
[](https://www.microsoft.com/windows)
[](LICENSE)
[](https://nvd.nist.gov/vuln/detail/CVE-2026-41091)
[](https://www.cisa.gov/known-exploited-vulnerabilities-catalog)
## > Aviso Legal e Uso Responsável
**Esta ferramenta é fornecida apenas para fins educacionais e de testes de penetração autorizados.**
Os autores e contribuidores não são responsáveis por qualquer uso indevido ou dano causado por este software. Os usuários são os únicos responsáveis por garantir que possuem permissão escrita explícita do proprietário do alvo antes de testar. O acesso não autorizado a sistemas de computador é ilegal sob as leis federais, estaduais e internacionais de crimes cibernéticos aplicáveis.
Ao usar este software, você concorda em:
- Usá-lo apenas em sistemas que você possui ou tem permissão explícita para testar.
- Cumprir todas as leis locais, estaduais e federais aplicáveis.
- Não usá-lo para quaisquer atividades maliciosas, destrutivas ou ilegais.
> [!] **AVISO:** Vulnerabilidades de elevação de privilégio no Active Directory apresentam alto risco para a infraestrutura empresarial. Testes não autorizados são estritamente proibidos.
> **Vulnerabilidade de Seguimento de Link do Microsoft Defender** - Escalação de Privilégio Local para NT AUTHORITY\SYSTEM
### A vulnerabilidade é conhecida como "RedSun", "SolarFlare" é o nome que dei ao meu exploit.
## [<] Visão Geral
Este repositório contém um **Proof of Concept (PoC) completo e funcional** de exploit para **CVE-2026-41091**, uma vulnerabilidade crítica de escalação de privilégio local no Microsoft Defender (Microsoft Malware Protection Engine). Ao explorar a resolução inadequada de links (CWE-59), um atacante autenticado com baixos privilégios pode obter privilégios de **NT AUTHORITY\SYSTEM**.
A vulnerabilidade, também conhecida como **"RedSun"** ou **"SolarFlare"**, permite que atacantes enganem o Microsoft Defender para gravar arquivos arbitrários em locais protegidos do sistema com privilégios de SYSTEM usando a Cloud Files API (CfAPI) e pontos de junção NTFS.
> **Nota:** Este repositório inclui duas versões:
> - `basic_poc.cpp` - Demonstração simplificada do algoritmo (educacional)
> - `full_poc.cpp` - Exploit completo e funcional com todos os recursos
### [-<] Principais Recursos
| Categoria | Recurso | `basic_poc.cpp` | `full_poc.cpp` |
|----------|---------|:---------------:|:--------------:|
| **Exploração** | Escalação de Privilégio Local para SYSTEM | `[+]` | `[+]` |
| | Integração com Cloud Files API (CfAPI) | `[-]` | `[+]` |
| | Criação de Cloud Placeholder | `[-]` | `[+]` |
| | Redirecionamento via Ponto de Junção NTFS | `[~]` | `[+]` |
| | Ativação de Serviço COM | `[-]` | `[+]` |
| **Técnicas** | Abuso de Batch Oplock | `[+]` | `[+]` |
| | Detecção de Snapshot VSS | `[+]` | `[+]` |
| | Gatilho EICAR | `[+]` | `[+]` |
| | Ponto de Reparse NTFS (Mount Point) | `[+]` | `[+]` |
| | File Disposition (NtSetInformationFile) | `[-]` | `[+]` |
| | Detecção de Session ID via Named Pipe | `[-]` | `[+]` |
| | Lançamento de Sessão de Console (conhost.exe) | `[-]` | `[+]` |
| | WaitOnAddress / WakeByAddress | `[-]` | `[+]` |
| | Verificação de SYSTEM | `[-]` | `[+]` |
| **Alvo** | Microsoft Defender < 1.1.26040.8 | `[+]` | `[+]` |
| | Windows 10/11 | `[+]` | `[+]` |
| | Windows Server 2016 | `[+]` | `[+]` |
| | Windows Server 2019/2022 | `[+]` | `[+]` |
| | Somente x64 | `[+]` | `[+]` |
| **Usabilidade** | Logging Estruturado | `[~]` | `[+]` |
| | Tratamento de Erros | `[~]` | `[+]` |
| | Nomes de Diretório Aleatórios | `[+]` | `[+]` |
| | Limpeza Automática | `[~]` | `[+]` |
| | Lógica de Retry (NtCreateFile) | `[-]` | `[+]` |
## [i] Detalhes da Vulnerabilidade
| Atributo | Valor |
|-----------|-------|
| **ID do CVE** | CVE-2026-41091 |
| **Pontuação CVSS** | 7.8 (Alta) |
| **Vetor CVSS** | AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H |
| **Vetor de Ataque** | Local |
| **Privilégios Necessários** | Baixos |
| **Interação do Usuário** | Nenhuma |
| **Impacto** | Execução de código em nível SYSTEM |
| **CISA KEV** | [+] Sim (explorado ativamente na natureza) |
| **Correção Disponível** | Microsoft Malware Protection Engine 1.1.26040.8 |
### [c] Produtos Afetados
| Produto | Versões Afetadas | Versões Corrigidas |
|---------|-------------------|----------------|
| Microsoft Malware Protection Engine | < 1.1.26040.8 | 1.1.26040.8+ |
| Microsoft Defender Antimalware Platform | < 4.18.26040.7 | 4.18.26040.7+ |
## [<\>] Cadeia de Exploração
```
┌─────────────────────────────────────────────────────────────────────────────
│ SOLARFLARE EXPLOIT CHAIN
├─────────────────────────────────────────────────────────────────────────────
│
│ 1. Create Working Directory
│ └─> %TEMP%\SF-XXXX\
│
│ 2. Trigger Defender with EICAR
│ └─> Write reversed EICAR to bait file
│
│ 3. Wait for VSS Snapshot
│ └─> Detect Volume Shadow Copy creation
│
│ 4. Create First Batch Oplock
│ └─> FSCTL_REQUEST_BATCH_OPLOCK on bait file
│
│ 5. Wait for Oplock Break
│ └─> Acquire exclusive access
│
│ 6. Rename Directory
│ └─> Move original directory to .tmp
│
│ 7. Register Cloud Sync Root
│ └─> CfRegisterSyncRoot with Cloud Files API
│
│ 8. Create Cloud Placeholder
│ └─> CfCreatePlaceholders for bait file
│
│ 9. Create Second Batch Oplock
│ └─> FSCTL_REQUEST_BATCH_OPLOCK on cloud placeholder
│
│ 10. Wait for Second Oplock Break
│ └─> Acquire exclusive access
│
│ 11. Rename Cloud Directory
│ └─> Move cloud directory to .cloud.tmp
│
│ 12. Create NTFS Junction to System32
│ └─> Redirect to C:\Windows\System32
│
│ 13. Copy Payload to System32
│ └─> Copy bait file to System32 as TieringEngineService.exe
│
│ 14. Activate Service as SYSTEM
│ └─> CoCreateInstance(StorageTiersManagement)
│
└─────────────────────────────────────────────────────────────────────────────
```
## [+] Instalação
### Pré-requisitos
- Windows 10/11 ou Windows Server 2019/2022
- Visual Studio 2019/2022 com ferramentas C++
- Privilégios administrativos (para execução)
### Compilação
```bash
# Clone the repository
git clone https://github.com/tc4dy/CVE-2026-41091-PoC-Exploit
cd CVE-2026-41091-PoC-Exploit
# Build using Visual Studio Developer Command Prompt
cl.exe /EHsc /std:c++17 full_poc.cpp /link cfapi.lib ntdll.lib
# Or build basic version
cl.exe /EHsc /std:c++17 basic_poc.cpp /link ntdll.lib
```
## [+] Uso
### Exploit Completo (Escalação de Privilégios SYSTEM)
```bash
full_poc.exe
```
### Demonstração Básica do Algoritmo
```bash
basic_poc.exe
```
## [i] Exemplo de Saída
### Saída Completa do Exploit
```text
CVE-2026-41091 SolarFlare PoC
===============================
by @tc4dy | CVSS 7.8
===============================
[*] SolarFlare exploit started.
[*] Creating working directory...
[+] Directory created: C:\Users\user\AppData\Local\Temp\SF-8427\
[*] Triggering Defender with EICAR...
[+] Defender triggered
[*] Waiting for VSS snapshot...
[+] VSS snapshot detected
[*] Creating first oplock...
[+] First oplock created
[*] Waiting for oplock break...
[+] Oplock acquired
[*] Renaming directory...
[+] Directory renamed
[*] Creating second oplock...
[+] Second oplock created
[*] Waiting for second oplock...
[+] Second oplock acquired
[*] Renaming cloud directory...
[+] Cloud directory renamed
[*] Creating NTFS junction to System32...
[+] Junction created
[*] Waiting for Defender to finish...
[*] Copying payload to System32...
[+] Payload copied to C:\Windows\System32\TieringEngineService.exe
[*] Activating Storage Tiers Management service...
[+] Service activated as SYSTEM
[+] SYSTEM access obtained!
```
### Saída Básica do PoC
```text
CVE-2026-41091 Basic PoC
========================================
Algorithm Demonstration Only
========================================
[*] Starting exploit algorithm...
[*] Creating working directory...
[+] Directory created: C:\Users\user\AppData\Local\Temp\BE-3921\
[*] Triggering Defender with EICAR...
[+] Defender triggered
[*] Waiting for VSS snapshot...
[+] VSS detected
[*] Creating first oplock...
[+] First oplock created
[*] Waiting for oplock break...
[+] Oplock acquired
[*] Renaming directory...
[+] Directory renamed
[*] Creating second oplock...
[+] Second oplock created
[*] Waiting for second oplock...
[+] Second oplock acquired
[*] Creating NTFS junction to System32...
[+] Junction created
[*] Waiting for Defender to finish...
[*] Copying payload to System32...
[+] Payload copied to C:\Windows\System32\Payload.exe
[+] Algorithm demonstration completed!
[i] This is only the basic algorithm.
[i] For full SYSTEM privilege escalation,
[i] use full_poc.cpp with Cloud API and COM activation.
```
## [<>] Instruções de Compilação
### Usando o Visual Studio
1. Abra o Developer Command Prompt for VS 2022
2. Navegue até o diretório do exploit
3. Execute:
```batch
# Full exploit
cl.exe /EHsc /std:c++17 full_poc.cpp /link cfapi.lib ntdll.lib
# Basic PoC
cl.exe /EHsc /std:c++17 basic_poc.cpp /link ntdll.lib
```
### Usando CMake
```cmake
cmake_minimum_required(VERSION 3.10)
project(SolarFlare)
set(CMAKE_CXX_STANDARD 17)
add_executable(full_poc full_poc.cpp)
target_link_libraries(full_poc cfapi ntdll)
add_executable(basic_poc basic_poc.cpp)
target_link_libraries(basic_poc ntdll)
```
## [!] Requisitos e Limitações
| Requisito | Detalhes |
|-------------|---------|
| **SO** | Windows 10/11, Server 2019/2022 |
| **Privilégios** | Administrativos (para execução) |
| **Defender** | O Microsoft Defender deve estar habilitado |
| **Internet** | Necessária para detecção de snapshot VSS |
| **Patch** | Funciona apenas em sistemas sem patch |
| **Arquitetura** | Somente x64 |
## Exploits Relacionados
Confira meus outros repositórios de exploits:
- [CVE-2026-24061-PoC-Exploit](https://github.com/tc4dy/CVE-2026-24061-PoC-Exploit) - Bypass de Autenticação do GNU inetutils-telnetd
- [CVE-2026-41940-PoC-Exploit](https://github.com/tc4dy/CVE-2026-41940-PoC-Exploit) - Exploit de Bypass de Autenticação do cPanel/WHM
- [CVE-2026-0073-PoC-Exploit](https://github.com/tc4dy/CVE-2026-0073-PoC-Exploit) - Bypass de Autenticação da Depuração Sem Fio do Android ADB