CVE-2026-41089：Windows Netlogon 通过 CLDAP 堆栈缓冲区溢出进行远程代码执行漏洞

Ots安全

2026年6月24日 11:01
广东

在小说阅读器读本章

去阅读

威胁简报

恶意软件

漏洞攻击

一个精心构造的 UDP 数据包发送到端口 389，即可使任何未打补丁的 Windows 域控制器上的 LSASS 内部 528 字节的堆栈缓冲区溢出。该进程崩溃。域控制器将在大约 60 秒后重启。无需身份验证。

根本原因

NlGetLocalPingResponse分配一个 528 字节的栈缓冲区并将其交给BuildSamLogonResponse。该函数调用NetpLogonPutUnicodeString 将服务器名称、域名、GUID 和攻击者控制的用户名写入缓冲区。

该漏洞：NetpLogonPutUnicodeString接收到的最大长度（以字节为单位）被当作 WCHAR 计数处理。通过此路径写入的每个字符串占用的空间是预期空间的两倍。CLDAP 过滤器中的“User”字段（最多 130 个 WCHAR，网络传输 260 字节）导致总写入量超过 528 字节的限制。

I_NetLogonLdapLookupEx  -> NlGetLocalPingResponse           // 528-byte stack buffer    -> LogonRequestHandler      -> BuildSamLogonResponse        -> NetpLogonPutUnicodeString   // byte/WCHAR size confusion

用法

# Connectivity test (short username, no overflow)python3 poc.py 10.0.50.21 corp.local # Default overflow attemptpython3 poc.py 10.0.50.21 corp.local -l 130 # Larger payload, longer timeout for slow networkspython3 poc.py 10.0.50.21 corp.local -l 200 -t 10

工作原理

第一阶段：使用用户名“testuser”进行正常的 CLDAP ping 测试，确认目标在 UDP 389 端口上响应。

第二阶段：数据包结构相同，但用户名是超过 130 个字符的“A”。这会将序列化数据推过堆栈缓冲区边界。如果 LSASS 崩溃，接收操作将超时。

第三阶段：经过一段可配置的延迟后，进行第二次常规 ping 测试，检查数据中心是否仍然在线。如果未收到响应，则确认 LSASS 崩溃。

溢出会触发拒绝服务（LSASS崩溃，数据中心重启）。理论上，可以通过堆栈损坏实现远程代码执行。此概念验证不会尝试执行代码。

已关注

关注

重播分享赞

关闭

观看更多

退出全屏

切换到竖屏全屏退出全屏