CVE-2026-41089

 ██████╗██╗   ██╗███████╗    ██╗  ██╗ ██╗ ██████╗  ██████╗
██╔════╝██║   ██║██╔════╝    ██║  ██║███║██╔═████╗██╔═████╗
██║     ██║   ██║█████╗      ███████║╚██║██║██╔██║██║██╔██║
██║     ╚██╗ ██╔╝██╔══╝      ██╔══██║ ██║████╔╝██║████╔╝██║
╚██████╗ ╚████╔╝ ███████╗    ██║  ██║ ██║╚██████╔╝╚██████╔╝
 ╚═════╝  ╚═══╝  ╚══════╝    ╚═╝  ╚═╝ ╚═╝ ╚═════╝  ╚═════╝

Windows Netlogon Remote Code Execution durch CLDAP Stack Buffer Overflow

Ein einziges manipuliertes UDP-Paket an Port 389 überläuft einen 528-Byte-Stack-Puffer innerhalb von LSASS auf jedem ungepatchten Windows Domain Controller. Der Prozess stürzt ab. Der DC startet in etwa 60 Sekunden neu. Keine Authentifizierung erforderlich.

Schnellstart

python3 poc.py 10.0.50.21 corp.local

Drei Phasen: normaler Ping, um zu bestätigen, dass der DC aktiv ist, Overflow-Ping mit einem 130 Zeichen langen Benutzernamen, Lebendigkeitsprüfung. Dauert etwa 10 Sekunden.

Betroffene Systeme

Jede Windows Server-Version, die als Domain Controller läuft:

Ursache

NlGetLocalPingResponse reserviert einen 528-Byte-Stack-Puffer und übergibt ihn an BuildSamLogonResponse. Diese Funktion ruft NetpLogonPutUnicodeString auf, um Servernamen, Domänennamen, GUIDs und den vom Angreifer kontrollierten Benutzernamen in den Puffer zu schreiben.

Der Fehler: NetpLogonPutUnicodeString erhält eine maximale Länge in Bytes, behandelt diese aber als WCHAR-Zähler. Jede über diesen Pfad geschriebene Zeichenfolge belegt den doppelten erwarteten Platz. Das Feld "User" im CLDAP-Filter (bis zu 130 Wchars, 260 Bytes auf der Leitung) treibt die kombinierte Schreiboperation über die 528-Byte-Grenze hinaus.

I_NetLogonLdapLookupEx
  -> NlGetLocalPingResponse           // 528-Byte-Stack-Puffer
    -> LogonRequestHandler
      -> BuildSamLogonResponse
        -> NetpLogonPutUnicodeString   // Byte/WCHAR-Größenverwechslung

Verwendung

python3 poc.py <target_ip> <domain_name> [optionen]

# Konnektivitätstest (kurzer Benutzername, kein Overflow)
python3 poc.py 10.0.50.21 corp.local

# Standard-Overflow-Versuch
python3 poc.py 10.0.50.21 corp.local -l 130

# Größere Nutzlast, längerer Timeout für langsame Netzwerke
python3 poc.py 10.0.50.21 corp.local -l 200 -t 10

Erfordert Python 3.8+. Keine Drittanbieter-Pakete.

Funktionsweise

1. Phase 1. Ein normaler CLDAP-Ping mit dem Benutzernamen "testuser" bestätigt, dass das Ziel auf UDP 389 antwortet.
2. Phase 2. Dieselbe Paketstruktur, aber der Benutzername besteht aus 130+ "A"-Zeichen. Dadurch werden die serialisierten Daten über die Grenze des Stack-Puffers hinausgeschrieben. Wenn LSASS abstürzt, läuft der Empfang aus.
3. Phase 3. Nach einer konfigurierbaren Verzögerung prüft ein zweiter normaler Ping, ob der DC noch aktiv ist. Keine Antwort = LSASS-Absturz bestätigt.

Der Overflow führt zu einem Denial-of-Service (LSASS-Absturz, DC-Neustart). RCE durch Stack-Korruption ist theoretisch möglich. Dieser PoC versucht keine Codeausführung.

Erkennung

Netzwerk. Überwachen Sie CLDAP-Verkehr auf Suchanfragen, bei denen das Filterattribut "User" mehr als 20-30 Zeichen umfasst. Normale DC-Locator-Pings verwenden Dienstkontonamen (kurze Zeichenfolgen).

Host. Achten Sie auf LSASS-Abstürze im Zusammenhang mit netlogon.dll (Ereignis-ID 1000). Aktivieren Sie die Netlogon-Debugprotokollierung:

nltest /dbflag:0x2080ffff

Abhilfe

• Installieren Sie das Microsoft-Sicherheitsupdate vom Mai 2026
• Beschränken Sie eingehendes UDP 389 auf vertrauenswürdige Verwaltungs-Subnetze
• Für ältere Serverversionen außerhalb von ESU: 0patch liefert Micropatches (Einzelbefehlsfix: mov edx, 0x40 um die maximale Benutzernamenslänge zu halbieren)

Referenzen

• Microsoft Security Update Guide
• NVD – CVE-2026-41089
• 0patch Analysis and Micropatch
• Aretiq AI Reverse Engineering
• RFC 4511 – LDAP
• MS-ADTS – CLDAP DC Locator

Rechtliches. Dieser Code dient der autorisierten Sicherheitsforschung und -bildung. Testen Sie nur Systeme, die Ihnen gehören oder für die Sie eine schriftliche Genehmigung haben. Unautorisierter Zugriff auf Computersysteme verstößt gegen den CFAA und entsprechende Gesetze in den meisten Rechtsordnungen.

MIT Lizenz