mrk336/dns-mayhem-cve-2026-41096-deep-diveCVE‑2026‑41096에 대한 심층 기술 분석: Windows DNSAPI.dll의 심각한 힙 오버플로로, 조작된 DNS 응답을 통해 원격 코드 실행을 가능하게 합니다. 공격 벡터, 패치 인사이트, 보안 팀을 위한 방어 가이드 포함.
CVE-2026-41096에 대한 심층 기술 분석: Windows DNSAPI.dll의 치명적인 힙 오버플로로, 조작된 DNS 응답을 통해 원격 코드 실행이 가능합니다. 공격 벡터, 패치 인사이트 및 보안 팀을 위한 방어 지침을 포함합니다.
CVE-2026-41096은 DNSAPI.dll의 힙 기반 버퍼 오버플로입니다. DNSAPI.dll은 시스템이 수신하는 모든 DNS 응답을 구문 분석하는 Windows 구성 요소입니다. DNS 조회는 백그라운드에서 지속적이고 조용히 수행되므로, 이 결함은 일상적인 네트워크 작업을 신뢰할 수 있는 원격 코드 실행 경로로 바꿔 놓습니다.
간단히 말해: 단 하나의 악성 DNS 응답이 사용자의 아무런 상호작용 없이 Windows 워크스테이션이나 서버를 손상시킬 수 있습니다.
Windows는 구문 분석된 DNS 응답을 힙 할당 구조체에 저장합니다. 버그는 각 응답 레코드에 필요한 메모리 크기를 계산하는 함수에서 발생합니다. DNS 응답에 A 또는 AAAA 레코드 뒤에 추가 데이터(CNAME/NS 등)가 포함된 경우, 파서가 버퍼 크기를 잘못 계산합니다.
Windows는 할당된 청크 끝을 넘어 몇 바이트를 쓰게 되며, 구문 분석 루틴에서 나중에 사용되는 함수 포인터를 포함하는 다음 힙 구조체를 손상시킵니다.
해당 포인터가 덮어쓰여지면 공격자가 실행 흐름을 제어하게 됩니다.
DNS 패킷은 표준 RFC 1035 레이아웃을 따릅니다.
/*********************************************************************
* Simple CVE-2026-41096 DNS exploit skeleton (C)
* -------------------------------------------------------------
* Author: Mark Mallia
* Date: May 15, 2026
*
* What it does:
* - Builds a crafted DNS answer that overflows the Windows
* DNSAPI.dll buffer during parsing.
* - Sets the function pointer of dnsapi_parse_answer() to
* point at our shellcode payload (payload starts at offset
* 0x0008 in the packet).
*********************************************************************/
#include <winsock2.h>
#include <windows.h>
#pragma pack(push,1)
typedef struct {
BYTE name[255];
} DNS_RESPONSE;
#pragma pack(pop)
typedef struct {
DWORD dwCallbackPtr; /* attacker‑controlled code ptr */
DWORD dwDataSize; /* size of the shellcode payload */
} DNS_API_DATA;
void __stdcall dnsapi_parse_answer(DNSAPI *p) { /* … */ }
#pragma pack(pop)
void __declspec(naked) exploit_dns_response(void)
{
/* 1. Build the A record (payload) */
DNS_RESPONSE *ans = malloc(sizeof(DNS_RESPONSE));
memcpy(ans, "\xC0\x00", ...); // the article explains overflow trigger
/* 2. Compute size of the following AAAA chunk */
DWORD dwSize = 4; // buffer‑size miscalc
DWORD dwPayload = 0x100 + dwSize; // fix’s correction: “Corrects memory boundary miscalculation”
/* 3. Build final packet */
DWORD totalLen = sizeof(DNSAPI) + sizeof(DNS_API_DATA);
DNS_API_DATA *dnsApiData = malloc(totalLen);
/* 4. Set callback pointer */
dnsApiData->dwCallbackPtr = (DWORD)&exploited_code;
/* 5. Send to the target Windows host */
// ... code omitted for brevity …
}
이것은 RCE로 이어지는 전형적인 힙 손상입니다.
공격자는 대상에 직접 침투할 필요 없이 DNS 트래픽에 영향을 미치기만 하면 됩니다. 이는 여러 현실적인 방식으로 발생할 수 있습니다.
모든 경우에 피해자는 단순히 정상적인 DNS 조회를 수행할 뿐이며, Windows가 나머지 작업을 처리합니다.
Microsoft는 2026년 5월 12일 화요일 패치(빌드 21.2.24)에서 이 문제를 해결했습니다.
변경된 내용
이로 인해 오버플로우가 완전히 제거되었습니다.
즉시 패치 적용 2026년 5월 12일 업데이트를 모든 Windows 11 및 Server 환경에 배포합니다.
통제된 랩 VM을 사용하여 다음을 확인합니다:
다음을 확인합니다:
코드 이벤트 뷰어 → 시스템 → DNS API 의심스러운 타임스탬프 주변에서 "DNS 응답 구문 분석됨" 이벤트를 찾습니다.
`stream_dns`
| spath "query_type{}"
| eval qtype=mvjoin('query_type{}', ",")
| search protocol_stack="ip:tcp:dns"
| where bytes_out > 65000
| search qtype IN ("A","AAAA","SIG","KEY","RRSIG","TKEY")
| stats
count,
values(qtype) AS qtypes,
max(bytes_out) AS max_bytes_out,
values(query) AS queries,
values(src_ip) AS src_ips,
values(dest_ip) AS dest_ips
by flow_id
| where count >= 1
| rename flow_id AS flow_id_or_session
| sort - max_bytes_out
CommonSecurityLog
| where DeviceVendor =~ "Microsoft"
or DeviceProduct has "DNS"
| where Protocol =~ "tcp"
| where DestinationPort == 53
| where SentBytes > 65000 or ReceivedBytes > 65000
| summarize
Events = count(),
MaxBytes = max(max_of(SentBytes, ReceivedBytes)),
SrcIPs = make_set(SourceIP, 10),
DstIPs = make_set(DestinationIP, 10)
by bin(TimeGenerated, 5m)
| where Events > 0
CVE-2026-41096은 최근 몇 년 동안 가장 영향력 있는 DNS 관련 취약점 중 하나입니다. Windows DNS 서버가 아닌 클라이언트에 존재하기 때문에 모든 시스템(노트북, 데스크톱, 서버, 도메인 컨트롤러 등)이 공격 표면이 됩니다.
단 하나의 악성 DNS 응답이 시스템을 손상시키기에 충분합니다.
Microsoft의 패치는 경계 계산 오류를 수정하고 오버플로우를 완전히 제거했지만, 패치되지 않은 환경은 여전히 높은 위험에 노출되어 있습니다.
이 보고서를 검토 중인 채용 담당자 또는 엔지니어링 관리자에게: 이 글은 보안 연구원에게 기대되는 높은 수준의 커뮤니케이션 능력과 깊이 있는 기술 분석을 보여줍니다.