LongLogon · CVE-2026-41089

LongLogon은 CVE-2026-41089에 대한 인증되지 않은, 비파괴적인 사전 조건 검사기입니다. 이 취약점은 Windows Netlogon 서비스의 사전 인증 스택 버퍼 오버플로우입니다. 자격 증명 없이, 그리고 오버플로우를 전송하지 않고, 도메인 컨트롤러의 DNS 도메인 이름이 버그를 크래시시키기에 충분히 긴지 여부를 보고합니다.

공개 PoC가 실제로 동작하나요?

일반적인 이름을 가진 도메인 컨트롤러에서는 그렇지 않습니다. 이 CVE에 대한 공개 익스플로잇 PoC(가장 많은 별표를 받은 것과 그 복사본들)는 긴 사용자 이름을 전송하여 도메인 컨트롤러를 크래시시킨다고 주장합니다. 그러나 패치 전후 netlogon.dll을 비교하고 실험실에서 크래시를 재현하여 확인된 두 가지 이유로 인해 일반 도메인에서 패치되지 않은 DC를 크래시시키지 않습니다:

1. 잘못된 NtVer. V5EX 비트(0x16)가 설정된 상태로 핑을 보내며, 이는 경계 검사가 적용되는 BuildSamLogonResponseEx로 라우팅됩니다. 취약한 레거시 BuildSamLogonResponse는 해당 비트가 지워진 경우에만 도달할 수 있습니다. LongLogon은 0x02를 사용합니다.
2. 긴 사용자 이름만으로는 오버플로우가 발생하지 않습니다. 공격자가 제어하는 User 필드는 바이너리에 의해 130와이드 문자로 제한되며, 528바이트 버퍼에 훨씬 못 미칩니다. 스택 쿠키 위로 쓰기를 수행하는 바이트는 서버 자체의 긴 DNS 이름이며, 페이로드 길이에 의해 변경되지 않습니다.

따라서 널리 알려진 익스플로잇은 일반 도메인에서 실패하며, 단일 UDP 패킷 손실이 정상 DC에서 발생시키는 recv 타임아웃이 크래시로 오인됩니다. LongLogon은 그러한 익스플로잇 중 하나가 아닙니다: 이는 수정되고 바이너리로 검증된 분석을 비파괴적 검사기로 제공하며, 오버플로우를 절대 전송하지 않습니다. 실험실에서 확인된 크래시 임계값과 전체 메커니즘은 아래에 있습니다.

CVE-2026-41089란 무엇인가

Netlogon DC-로케이터 경로 NlGetLocalPingResponse → BuildSamLogonResponse → NetpLogonPutUnicodeString에서 발생하는 스택 기반 버퍼 오버플로우(CWE-121, CVSS 9.8)입니다. CLDAP 또는 MAILSLOT 핑에 응답할 때 DC는 자체의 포리스트, 도메인 및 호스트 이름과 공격자가 제어하는 작은 문자열을 고정된 528바이트 스택 버퍼(ushort local_258[264])에 직렬화하며, 스택 쿠키는 버퍼 바로 뒤에 위치합니다. 서버 자체의 DNS 이름이 충분히 긴 경우, 누적 쓰기가 버퍼 끝에 도달하고 후행 L'\0' 종결자가 쿠키를 초과하여 __report_gsfailure가 발생하고 lsass.exe가 STATUS_STACK_BUFFER_OVERRUN (0xc0000409)과 함께 종료됩니다. 도메인 컨트롤러가 재부팅됩니다. 인증되지 않은 단일 UDP 패킷입니다.

Zerologon(CVE-2020-1472)이 모두 0인 챌린지를 악용한 반면, LongLogon은 병리학적으로 긴 도메인 이름을 악용합니다.

이 도구가 확인하는 것과 확인하지 않는 것

longlogon.py는 비파괴적입니다. 최소한의 User 필드로 무해한 CLDAP 핑을 전송하고, 레거시 빌더 응답을 측정하여 오버플로우 사전 조건이 충족되는지, 즉 이 DC의 도메인이 패치되지 않은 DC를 크래시시킬 만큼 긴지 여부를 보고합니다.

다음 작업을 수행하지 않습니다:

• 오버플로우를 전송하거나 아무것도 크래시시키지 않음
• 패치 상태를 확인하지 않음. 패치된 DC는 동일한 코드 경로를 취하고 너무 긴 쓰기를 거부하므로, 일반적인 이름의 DC에서 패치 여부를 네트워크를 통해 구분할 수 없습니다.

실제로 패치된 DC를 식별하려면 전체 플릿에 대한 자격 증명(관리자) 버전 확인이 필요합니다. 이는 ADscan이 엔게이지먼트에서 자동화하는 종류의 작업입니다(아래 참조).

거의 모든 실제 DC가 안전한 이유

버퍼에 도달하는 유일한 공격자 제어 바이트는 CLDAP User 필터에서 오며, 130와이드 문자로 제한되어 단독으로는 528바이트 버퍼에 훨씬 못 미칩니다. 커서를 쿠키 위로 운반하는 바이트는 공격자가 제어하지 않는 서버 자체의 이름입니다. 기본 이름의 DC(corp.local)는 크래시될 수 없습니다. 이것이 Microsoft가 "Exploitation Less Likely" 로 평가한 이유입니다. 실험실에서 Windows Server 2016(7자 호스트 이름 기준)을 크래시시키는 최소 DNS 도메인 길이는 98자였습니다.

사용법

uv를 사용하면 설정이 필요 없습니다. 종속성은 인라인(PEP 723)으로 선언되므로 임시 환경에 rich가 자동으로 설치됩니다:

uv run longlogon.py <dc-ip> <dc-dns-domain>

또는 pip 사용:

pip install rich
python3 longlogon.py <dc-ip> <dc-dns-domain>

DNS 도메인은 DC가 제공하는 것과 일치해야 합니다. 이는 비밀이 아닙니다: rootDSE, 역방향 DNS, CLDAP 자체 모두 이를 드러냅니다. 출력은 사전 조건 판정과 필드별 버퍼 채움 계산입니다.

NtVer 라우팅이 중요합니다. 취약한 레거시 BuildSamLogonResponse는 (NtVer & 0xc) == 0이고 (NtVer & 0x2) != 0일 때만 도달할 수 있습니다. NtVer=0x16 또는 0x06을 전송하는 공개 익스플로잇 시도는 비트 2(0x4)를 설정하고 경계 검사가 적용된 BuildSamLogonResponseEx에 도달하므로 버그를 절대 트리거하지 않습니다. LongLogon은 0x02를 사용합니다.

영향을 받는 빌드

패치되지 않은 Windows Server 도메인 컨트롤러, 2012 R2부터 2025까지. 최초 패치 빌드:

책임 있는 사용

승인된 보안 연구 및 방어적 검증 용도로만 사용하십시오. 이 저장소는 비파괴적인 사전 조건 검사기를 제공하며, 무기화된 크래셔가 아닙니다. 이는 현재 악용 중인 웜 가능 CVE입니다. 도메인 컨트롤러를 패치하십시오.

더 알아보기

• 전체 연구 보고서: 패치 비교를 통한 버그 위치 확인 방법, 정확한 버퍼 메커니즘, 그리고 공개 PoC가 작동하지 않는 이유. https://adscanpro.com/blog/patch-diffing-cve-2026-41089-netlogon
• ADscan LITE (무료, 오픈소스): 하나의 터미널에서 Active Directory 침투 테스트. 열거, BloodHound 수집, Kerberoasting, ADCS, 공격 경로, 증거. https://github.com/ADScanPro/adscan
• ADscan PRO: 팀이 AD 엔게이지먼트를 수행할 때 동일한 킬체인 자동화. https://adscanpro.com/pro

_{연구: Yeray Martín Domínguez · ADscan · CVE-2026-41089 · Netlogon · Active Directory · 도메인 컨트롤러 · 스택 버퍼 오버플로우 · CLDAP · 인증되지 않음 · 사전 인증 · proof of concept}