CVE-2026-41091 - RedSun (SolarFlare) - Microsoft Defender 本地提权漏洞利用工具包

> 法律免责声明与负责任使用

本工具仅供教育和经授权的渗透测试目的使用。 作者和贡献者不对本软件造成的任何滥用或损害负责。用户须自行负责确保在测试前获得目标所有者的明确书面许可。未经授权访问计算机系统在适用的联邦、州和国际网络犯罪法律下均属违法。 使用本软件即表示您同意：

• 仅在您拥有或获得明确测试许可的系统上使用。
• 遵守所有适用的地方、州和联邦法律。
• 不将其用于任何恶意、破坏性或非法活动。

[!] 警告： Active Directory 权限提升漏洞对企业基础设施构成高风险。严禁未经授权的测试。

Microsoft Defender 链接跟随漏洞 - 本地权限提升至 NT AUTHORITY\SYSTEM

该漏洞被称为 "RedSun"，"SolarFlare" 是我为我的漏洞利用程序起的名字。

[<] 概述

本仓库包含针对 CVE-2026-41091 的**完整可用的概念验证（PoC）**漏洞利用程序，这是 Microsoft Defender（Microsoft Malware Protection Engine）中的一个严重本地权限提升漏洞。通过利用不当的链接解析（CWE-59），经过身份验证的低权限攻击者可以获取 NT AUTHORITY\SYSTEM 权限。

该漏洞也被称为 "RedSun" 或 "SolarFlare"，允许攻击者利用 Cloud Files API（CfAPI）和 NTFS 联接点诱骗 Microsoft Defender 以 SYSTEM 权限将任意文件写入受保护的系统位置。

注意： 本仓库包含两个版本：

• basic_poc.cpp - 简化的算法演示（教育用途）
• full_poc.cpp - 包含全部功能的完整可用漏洞利用程序

[-<] 主要特性

类别	特性	basic_poc.cpp	full_poc.cpp
漏洞利用	本地权限提升至 SYSTEM	[+]	[+]
	Cloud Files API（CfAPI）集成	[-]	[+]
	云占位符创建	[-]	[+]
	NTFS 联接点重定向	[~]	[+]
	COM 服务激活	[-]	[+]
技术	批量 Oplock 滥用	[+]	[+]
	VSS 快照检测	[+]	[+]
	EICAR 触发	[+]	[+]
	NTFS 重解析点（挂载点）	[+]	[+]
	文件处置（NtSetInformationFile）	[-]	[+]
	命名管道会话 ID 检测	[-]	[+]
	控制台会话启动（conhost.exe）	[-]	[+]
	WaitOnAddress / WakeByAddress	[-]	[+]
	SYSTEM 验证	[-]	[+]
目标	Microsoft Defender < 1.1.26040.8	[+]	[+]
	Windows 10/11	[+]	[+]
	Windows Server 2016	[+]	[+]
	Windows Server 2019/2022	[+]	[+]
	仅限 x64	[+]	[+]
可用性	结构化日志记录	[~]	[+]
	错误处理	[~]	[+]
	随机目录名	[+]	[+]
	自动清理	[~]	[+]
	重试逻辑（NtCreateFile）	[-]	[+]

[i] 漏洞详情

属性	值
CVE ID	CVE-2026-41091
CVSS 评分	7.8（高危）
CVSS 向量	AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
攻击向量	本地
所需权限	低
用户交互	无
影响	SYSTEM 级代码执行
CISA KEV	[+] 是（已在野被积极利用）
补丁可用性	Microsoft Malware Protection Engine 1.1.26040.8

[c] 受影响产品

产品	受影响版本	修复版本
Microsoft Malware Protection Engine	< 1.1.26040.8	1.1.26040.8+
Microsoft Defender Antimalware Platform	< 4.18.26040.7	4.18.26040.7+

[<>] 漏洞利用链

┌─────────────────────────────────────────────────────────────────────────────
│ SOLARFLARE EXPLOIT CHAIN                                                    
├─────────────────────────────────────────────────────────────────────────────
│                                                                              
│ 1. Create Working Directory                                                 
│    └─> %TEMP%\SF-XXXX\                                                      
│                                                                             
│ 2. Trigger Defender with EICAR                                              
│    └─> Write reversed EICAR to bait file                                    
│                                                                              
│ 3. Wait for VSS Snapshot                                                    
│    └─> Detect Volume Shadow Copy creation                                   
│                                                                              
│ 4. Create First Batch Oplock                                                
│    └─> FSCTL_REQUEST_BATCH_OPLOCK on bait file                              
│                                                                              
│ 5. Wait for Oplock Break                                                    
│    └─> Acquire exclusive access                                             
│                                                                              
│ 6. Rename Directory                                                         
│    └─> Move original directory to .tmp                                      
│                                                                              
│ 7. Register Cloud Sync Root                                                 
│    └─> CfRegisterSyncRoot with Cloud Files API                              
│                                                                              
│ 8. Create Cloud Placeholder                                                 
│    └─> CfCreatePlaceholders for bait file                                  
│                                                                              
│ 9. Create Second Batch Oplock                                               
│    └─> FSCTL_REQUEST_BATCH_OPLOCK on cloud placeholder                      
│                                                                              
│ 10. Wait for Second Oplock Break                                            
│     └─> Acquire exclusive access                                            
│                                                                              
│ 11. Rename Cloud Directory                                                  
│     └─> Move cloud directory to .cloud.tmp                                  
│                                                                              
│ 12. Create NTFS Junction to System32                                        
│     └─> Redirect to C:\Windows\System32                                     
│                                                                              
│ 13. Copy Payload to System32                                                
│     └─> Copy bait file to System32 as TieringEngineService.exe              
│                                                                              
│ 14. Activate Service as SYSTEM                                              
│     └─> CoCreateInstance(StorageTiersManagement)                            
│                                                                              
└─────────────────────────────────────────────────────────────────────────────

[+] 安装

先决条件

• Windows 10/11 或 Windows Server 2019/2022
• 带有 C++ 工具的 Visual Studio 2019/2022
• 管理员权限（用于执行）

构建

# Clone the repository
git clone https://github.com/tc4dy/CVE-2026-41091-PoC-Exploit
cd CVE-2026-41091-PoC-Exploit

# Build using Visual Studio Developer Command Prompt
cl.exe /EHsc /std:c++17 full_poc.cpp /link cfapi.lib ntdll.lib

# Or build basic version
cl.exe /EHsc /std:c++17 basic_poc.cpp /link ntdll.lib

[+] 用法

完整利用（SYSTEM 权限提升）

full_poc.exe

基础算法演示

basic_poc.exe

[i] 示例输出

完整漏洞利用输出

CVE-2026-41091 SolarFlare PoC
===============================
     by @tc4dy | CVSS 7.8
===============================