CVE-2026-41091 - RedSun (SolarFlare) - Набор эксплойтов для локального повышения привилегий в Microsoft Defender

> Правовая оговорка и ответственное использование

Этот инструмент предоставляется исключительно в образовательных целях и для авторизованного тестирования на проникновение. Авторы и участники не несут ответственности за любое неправомерное использование или ущерб, причинённый этим программным обеспечением. Пользователи несут полную ответственность за получение явного письменного разрешения от владельца целевой системы перед тестированием. Несанкционированный доступ к компьютерным системам является незаконным в соответствии с применимыми федеральными, региональными и международными законами о киберпреступности. Используя это программное обеспечение, вы соглашаетесь:

• Использовать его только в системах, которыми вы владеете или на тестирование которых у вас есть явное разрешение.
• Соблюдать все применимые местные, региональные и федеральные законы.
• Не использовать его для каких-либо вредоносных, разрушительных или незаконных действий.

[!] ВНИМАНИЕ: Уязвимости повышения привилегий в Active Directory представляют высокий риск для корпоративной инфраструктуры. Несанкционированное тестирование строго запрещено.

Уязвимость следования по ссылкам в Microsoft Defender — локальное повышение привилегий до NT AUTHORITY\SYSTEM

Уязвимость известна как "RedSun", "SolarFlare" — это название, которое я дал своему эксплойту.

[<] Обзор

Этот репозиторий содержит полноценный рабочий Proof of Concept (PoC) эксплойт для CVE-2026-41091 — критической уязвимости локального повышения привилегий в Microsoft Defender (Microsoft Malware Protection Engine). Эксплуатируя некорректное разрешение ссылок (CWE-59), аутентифицированный атакующий с низкими привилегиями может получить привилегии NT AUTHORITY\SYSTEM.

Уязвимость, также известная как "RedSun" или "SolarFlare", позволяет атакующим обмануть Microsoft Defender, заставив его записывать произвольные файлы в защищённые системные расположения с привилегиями SYSTEM, используя Cloud Files API (CfAPI) и точки соединения NTFS.

Примечание: Этот репозиторий включает две версии:

• basic_poc.cpp — упрощённая демонстрация алгоритма (образовательная)
• full_poc.cpp — полный рабочий эксплойт со всеми возможностями

[-<] Ключевые возможности

Категория	Возможность	basic_poc.cpp	full_poc.cpp
Эксплуатация	Локальное повышение привилегий до SYSTEM	[+]	[+]
	Интеграция Cloud Files API (CfAPI)	[-]	[+]
	Создание облачных заполнителей (Cloud Placeholder)	[-]	[+]
	Перенаправление через точки соединения NTFS	[~]	[+]
	Активация COM-сервиса	[-]	[+]
Техники	Злоупотребление пакетными оплок-блокировками	[+]	[+]
	Обнаружение снимков VSS	[+]	[+]
	Триггер EICAR	[+]	[+]
	Точка повторной обработки NTFS (точка монтирования)	[+]	[+]
	Удаление файла (NtSetInformationFile)	[-]	[+]
	Определение идентификатора сессии через именованный канал	[-]	[+]
	Запуск в консольной сессии (conhost.exe)	[-]	[+]
	WaitOnAddress / WakeByAddress	[-]	[+]
	Проверка SYSTEM	[-]	[+]
Цель	Microsoft Defender < 1.1.26040.8	[+]	[+]
	Windows 10/11	[+]	[+]
	Windows Server 2016	[+]	[+]
	Windows Server 2019/2022	[+]	[+]
	Только x64	[+]	[+]
Удобство использования	Структурированное логирование	[~]	[+]
	Обработка ошибок	[~]	[+]
	Случайные имена каталогов	[+]	[+]
	Автоматическая очистка	[~]	[+]
	Логика повторных попыток (NtCreateFile)	[-]	[+]

[i] Подробности уязвимости

Атрибут	Значение
CVE ID	CVE-2026-41091
Оценка CVSS	7.8 (высокая)
Вектор CVSS	AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
Вектор атаки	Локальный
Требуемые привилегии	Низкие
Взаимодействие с пользователем	Отсутствует
Воздействие	Выполнение кода на уровне SYSTEM
CISA KEV	[+] Да (активно эксплуатируется в реальных атаках)
Доступно исправление	Microsoft Malware Protection Engine 1.1.26040.8

[c] Затронутые продукты

Продукт	Затронутые версии	Исправленные версии
Microsoft Malware Protection Engine	< 1.1.26040.8	1.1.26040.8+
Microsoft Defender Antimalware Platform	< 4.18.26040.7	4.18.26040.7+

[<>] Цепочка эксплуатации