CVE-2026-41089

 ██████╗██╗   ██╗███████╗    ██╗  ██╗ ██╗ ██████╗  ██████╗
██╔════╝██║   ██║██╔════╝    ██║  ██║███║██╔═████╗██╔═████╗
██║     ██║   ██║█████╗      ███████║╚██║██║██╔██║██║██╔██║
██║     ╚██╗ ██╔╝██╔══╝      ██╔══██║ ██║████╔╝██║████╔╝██║
╚██████╗ ╚████╔╝ ███████╗    ██║  ██║ ██║╚██████╔╝╚██████╔╝
 ╚═════╝  ╚═══╝  ╚══════╝    ╚═╝  ╚═╝ ╚═╝ ╚═════╝  ╚═════╝

Ejecución remota de código en Windows Netlogon mediante desbordamiento de búfer en la pila de CLDAP

Un único paquete UDP al puerto 389 desborda un búfer de pila de 528 bytes dentro de LSASS en cualquier Controlador de Dominio de Windows sin parchear. El proceso se bloquea. El DC se reinicia en aproximadamente 60 segundos. No se requiere autenticación.

Inicio rápido

python3 poc.py 10.0.50.21 corp.local

Tres fases: ping normal para confirmar que el DC está activo, ping de desbordamiento con un nombre de usuario de 130 caracteres, verificación de actividad. Tarda aproximadamente 10 segundos.

Sistemas afectados

Cada versión de Windows Server que funcione como Controlador de Dominio:

Causa raíz

NlGetLocalPingResponse asigna un búfer de pila de 528 bytes y lo pasa a BuildSamLogonResponse. Esta función llama a NetpLogonPutUnicodeString para escribir el nombre del servidor, el nombre del dominio, los GUIDs y el nombre de usuario controlado por el atacante en el búfer.

El error: NetpLogonPutUnicodeString recibe una longitud máxima en bytes pero la trata como un recuento de WCHAR. Cada cadena escrita a través de esta ruta ocupa el doble del espacio esperado. El campo "User" en el filtro CLDAP (hasta 130 wchars, 260 bytes en el cable) empuja la escritura combinada más allá del límite de 528 bytes.

I_NetLogonLdapLookupEx
  -> NlGetLocalPingResponse           // búfer de pila de 528 bytes
    -> LogonRequestHandler
      -> BuildSamLogonResponse
        -> NetpLogonPutUnicodeString   // confusión de tamaño byte/WCHAR

Uso

python3 poc.py <ip_destino> <nombre_dominio> [opciones]

# Prueba de conectividad (nombre de usuario corto, sin desbordamiento)
python3 poc.py 10.0.50.21 corp.local

# Intento de desbordamiento por defecto
python3 poc.py 10.0.50.21 corp.local -l 130

# Payload más grande, tiempo de espera más largo para redes lentas
python3 poc.py 10.0.50.21 corp.local -l 200 -t 10

Requiere Python 3.8+. No requiere paquetes de terceros.

Cómo funciona

1. Fase 1. Un ping CLDAP normal con nombre de usuario "testuser" confirma que el objetivo responde en UDP 389.
2. Fase 2. La misma estructura de paquete, pero el nombre de usuario tiene 130+ caracteres de "A". Esto empuja los datos serializados más allá del límite del búfer de pila. Si LSASS se bloquea, la recepción expira.
3. Fase 3. Después de un retardo configurable, un segundo ping normal comprueba si el DC sigue activo. Sin respuesta = bloqueo de LSASS confirmado.

El desbordamiento provoca una denegación de servicio (bloqueo de LSASS, reinicio del DC). El RCE mediante corrupción de la pila es teóricamente posible. Este PoC no intenta ejecución de código.

Detección

Red. Escanee el tráfico CLDAP en busca de solicitudes de búsqueda donde el atributo de filtro "User" supere los 20-30 caracteres. Los pings normales del localizador de DC utilizan nombres de cuentas de servicio (cadenas cortas).

Host. Vigile los bloqueos de LSASS relacionados con netlogon.dll (Id. de evento 1000). Active el registro de depuración de Netlogon:

nltest /dbflag:0x2080ffff

Mitigación

• Instale la actualización de seguridad de Microsoft de mayo de 2026
• Restrinja el UDP 389 entrante a subredes de gestión de confianza
• Para versiones de servidor heredadas sin ESU: 0patch ofrece microparches (corrección de una sola instrucción: mov edx, 0x40 para reducir a la mitad la longitud máxima del nombre de usuario)

Referencias

• Guía de actualización de seguridad de Microsoft
• NVD - CVE-2026-41089
• Análisis y microparch de 0patch
• Ingeniería inversa de Aretiq AI
• RFC 4511 - LDAP
• MS-ADTS - Localizador de DC CLDAP

Legal. Este código existe para investigación de seguridad autorizada y educación. Pruébelo únicamente contra sistemas que posea o para los que tenga permiso por escrito. El acceso no autorizado a sistemas informáticos viola la CFAA y leyes equivalentes en la mayoría de las jurisdicciones.

Licencia MIT