CVE-2026-41089

 ██████╗██╗   ██╗███████╗    ██╗  ██╗ ██╗ ██████╗  ██████╗
██╔════╝██║   ██║██╔════╝    ██║  ██║███║██╔═████╗██╔═████╗
██║     ██║   ██║█████╗      ███████║╚██║██║██╔██║██║██╔██║
██║     ╚██╗ ██╔╝██╔══╝      ██╔══██║ ██║████╔╝██║████╔╝██║
╚██████╗ ╚████╔╝ ███████╗    ██║  ██║ ██║╚██████╔╝╚██████╔╝
 ╚═════╝  ╚═══╝  ╚══════╝    ╚═╝  ╚═╝ ╚═╝ ╚═════╝  ╚═════╝

Windows Netlogon の CLDAP スタックバッファオーバーフローによるリモートコード実行

細工された 1 つの UDP パケットをポート 389 に送信することで、パッチが適用されていない Windows ドメインコントローラ上の LSASS 内の 528 バイトのスタックバッファがオーバーフローします。プロセスはクラッシュし、DC は約 60 秒で再起動します。認証は不要です。

クイックスタート

python3 poc.py 10.0.50.21 corp.local

3 つのフェーズ: DC が応答していることを確認する通常の ping、130 文字のユーザー名によるオーバーフロー ping、死活確認。約 10 秒で完了します。

影響を受けるシステム

ドメインコントローラとして動作しているすべての Windows Server バージョン:

根本原因

NlGetLocalPingResponse は 528 バイトのスタックバッファを割り当て、それを BuildSamLogonResponse に渡します。この関数は NetpLogonPutUnicodeString を呼び出して、サーバー名、ドメイン名、GUID、および攻撃者が制御するユーザー名をバッファに書き込みます。

バグの内容: NetpLogonPutUnicodeString は最大長をバイト単位で受け取りますが、それを WCHAR カウントとして扱います。このパスを通じて書き込まれるすべての文字列は、期待されるサイズの 2 倍の領域を占有します。CLDAP フィルタ内の "User" フィールド (最大 130 wchar、ワイヤ上では 260 バイト) により、結合された書き込みが 528 バイトの境界を超えます。

I_NetLogonLdapLookupEx
  -> NlGetLocalPingResponse           // 528 バイトのスタックバッファ
    -> LogonRequestHandler
      -> BuildSamLogonResponse
        -> NetpLogonPutUnicodeString   // バイト/WCHAR サイズの混同

使用方法

python3 poc.py <target_ip> <domain_name> [options]

# 接続テスト (短いユーザー名、オーバーフローなし)
python3 poc.py 10.0.50.21 corp.local

# デフォルトのオーバーフロー試行
python3 poc.py 10.0.50.21 corp.local -l 130

# 大規模ペイロード、低速ネットワーク向けの長いタイムアウト
python3 poc.py 10.0.50.21 corp.local -l 200 -t 10

Python 3.8+ が必要です。サードパーティパッケージは不要です。

動作の仕組み

1. フェーズ 1. ユーザー名 "testuser" を使用した通常の CLDAP ping により、ターゲットが UDP 389 で応答することを確認します。
2. フェーズ 2. 同一のパケット構造ですが、ユーザー名は 130 文字以上の "A" です。これによりシリアル化されたデータがスタックバッファの境界を超えます。LSASS がクラッシュすると、recv がタイムアウトします。
3. フェーズ 3. 設定可能な遅延の後、2 回目の通常の ping で DC がまだ生きているかどうかを確認します。応答がない = LSASS クラッシュが確認されました。

このオーバーフローはサービス拒否 (LSASS クラッシュ、DC 再起動) を引き起こします。理論上はスタック破壊による RCE が可能ですが、この PoC はコード実行を試みません。

検出

ネットワーク. "User" フィルタ属性が 20～30 文字を超える検索リクエストがないか、CLDAP トラフィックをスキャンします。通常の DC ロケーター ping はサービスアカウント名 (短い文字列) を使用します。

ホスト. netlogon.dll に関連する LSASS クラッシュ (イベント ID 1000) を監視します。Netlogon デバッグログを有効にします:

nltest /dbflag:0x2080ffff

緩和策

• 2026 年 5 月の Microsoft セキュリティ更新プログラムをインストールする
• UDP 389 のインバウンドを信頼済み管理サブネットに制限する
• ESU 対象外のレガシー Server バージョン: 0patch がマイクロパッチを提供 (1 命令の修正: mov edx, 0x40 で最大ユーザー名長を半分に)

参考情報

• Microsoft セキュリティ更新プログラムガイド
• NVD - CVE-2026-41089
• 0patch の分析とマイクロパッチ
• Aretiq AI によるリバースエンジニアリング
• RFC 4511 - LDAP
• MS-ADTS - CLDAP DC ロケーター

法的通知. このコードは、許可されたセキュリティ研究および教育のために存在します。自分が所有するシステム、またはテストする書面による許可を得たシステムに対してのみテストしてください。コンピュータシステムへの不正アクセスは、CFAA およびほとんどの法域における同等の法律に違反します。

MIT License