گزارش اثبات آسیب‌پذیری CVE-2026-41089

اطلاعات آسیب‌پذیری

عنوان: اجرای کد از راه دور در سرویس Netlogon مایکروسافت ویندوز

شناسه: CVE-2026-41089

وضعیت مشاوره: Security Update / Actively Exploited in the Wild / Patch Available

امتیاز:  CVSS: 9.8 (CRITICAL)

محصول: Microsoft Windows Server

محصول / نسخه‌های آسیب‌پذیر

در نسخه‌های زیر:

• Windows Server 2012 (پیش از بیلد 6.2.9200.26079)
• Windows Server 2012 R2 (پیش از بیلد 6.3.9600.23181)
• Windows Server 2016 (پیش از بیلد 10.0.14393.9140)
• Windows Server 2019 (پیش از بیلد 10.0.17763.8755)
• Windows Server 2022 (پیش از بیلد 10.0.20348.5139)
• Windows Server 2022 23H2 Edition (پیش از بیلد 10.0.25398.2330)
• Windows Server 2025 (پیش از بیلد 10.0.26100.32772)
• تمامی نسخه‌های Server Core مربوط به نسخه‌های فوق

محیط‌های درگیر

• کلیه سرورهای Windows که به عنوان Domain Controller پیکربندی شده ‌اند
• محیط ‌های Active Directory سازمانی در هر اندازه (از SMB تا Enterprise)
• سرورهای Read-Only Domain Controllers (RODC)
• محیط ‌های hybrid که از Windows Server DC ها برای احراز هویت استفاده می ‌کنند
• زیرساخت ‌های حیاتی که به Active Directory وابسته هستند (Exchange، SharePoint، SCCM، SQL Server با Windows Auth)
• سرویس ‌های احراز هویت مبتنی بر Kerberos و NTLM

کامپوننت‌های آسیب‌پذیر

• سرویس Netlogon (پروتکل MS-NRPC — Microsoft Netlogon Remote Protocol)
• فایل netlogon.dll و ماژول‌های وابسته در مسیر %SystemRoot%\System32
• رابط RPC مربوط به Netlogon
• پروتکل CLDAP (Connectionless LDAP) روی پورت UDP 389
• توابع مدیریت بسته‌های شبکه در سرویس Netlogon

ریشه مشکل (Root Cause Analysis)

ریشه اصلی این آسیب ‌پذیری به یک خطای Stack-based Buffer Overflow (CWE-121) در منطق پردازش بسته ‌های سرویس Netlogon باز می ‌گردد. این سرویس مسئول احراز هویت کاربران، اعتبارسنجی Domain Controller ها، و مدیریت روابط اعتماد (trust relationships) در محیط Active Directory است. نقص در توابعی رخ می ‌دهد که درخواست ‌های CLDAP را پردازش می ‌کنند. هنگامی که مهاجم یک درخواست شبکه ‌ای مخرب با طول و ساختار خاص به پورت UDP 389 (یا رابط RPC مربوطه) یک Domain Controller ارسال می‌ کند، بافر پشته ‌ای که برای نگهداری داده ‌های درخواست تخصیص داده شده است، سرریز می ‌شود. این سرریز به مهاجم اجازه می‌دهد که، Return Address ذخیره ‌شده روی پشته را بازنویسی کند، ROP chain (Return-Oriented Programming) یا shellcode دلخواه را در حافظه تزریق کند و کنترل جریان اجرای برنامه را در context فرآیند lsass.exe (که Netlogon در آن اجرا می ‌شود) به دست بگیرد.

از آنجا که سرویس Netlogon در context حساب NT AUTHORITY\SYSTEM اجرا می ‌شود و دسترسی کامل به پایگاه داده Active Directory (ntds.dit) دارد، موفقیت در بهره ‌برداری عملاً به معنای در اختیار گرفتن کامل Domain است.

وقتی BuildSamLogonResponse این توابع کمکی را به صورت زنجیره‌ای فراخوانی می‌کند، هر تابع، داده ‌های خود را در بافر می‌نویسد، یک cursor مشترک را پیش می‌برد و یک terminator دو بایتی L’\0′ می ‌نویسد. فیلد User به تنهایی نمی ‌تواند باعث overflow شود، زیرا توسط باینری به 130 کاراکتر محدود شده است NetpLogonPutUnicodeString(User, 0x82, …). بایت‌ هایی که در واقع cursor را به سمت stack cookie پیش می ‌برند، نام‌ های DNS طولانی خود سرور هستند که مهاجم کنترل مستقیمی روی آنها ندارد.

بخش آسیب‌پذیر

رفتار ناامن سیستم:

سرویس Netlogon در ویندوز سرور هنگام پردازش درخواست ‌های CLDAP از پروتکل MS-NRPC، بررسی صحیحی روی طول و ساختار داده ‌های ورودی انجام نمی ‌دهد. این نقص باعث می ‌شود که یک بافر پشته ‌ای داخلی سرریز شود و مهاجم بتواند بدون هیچ ‌گونه احراز هویت، کد دلخواه را با سطح دسترسی SYSTEM روی Domain Controller اجرا کند.

نحوه سوءاستفاده مهاجم:

• مهاجم نیازی به هیچ دسترسی اولیه، احراز هویت، یا تعامل کاربر ندارد
• مهاجم فقط باید بتواند به پورت UDP 389 (CLDAP) یا رابط RPC مربوط به Netlogon روی Domain Controller از طریق شبکه دسترسی داشته باشد
• مهاجم یک بسته CLDAP مخرب با ساختار دستکاری ‌شده ایجاد می ‌کند
• بسته را به Domain Controller هدف ارسال می ‌کند
• سرویس Netlogon بسته را پردازش کرده و بافر پشته را سرریز می ‌کند
• مهاجم با استفاده از تکنیک ‌های ROP یا shellcode، کنترل جریان اجرا را به دست می ‌گیرد
• کد دلخواه با سطح دسترسی NT AUTHORITY\SYSTEM در context فرآیند lsass.exe اجرا می ‌شود
• مهاجم اکنون کنترل کامل Domain Controller، کل Active Directory Domain را در اختیار دارد

نقش این آسیب‌پذیری در زنجیره حمله

این آسیب ‌پذیری یک ابزار اجرای کد از راه دور بدون احراز هویت (Unauthenticated Remote Code Execution) است که به عنوان یکی از خطرناک ‌ترین نقاط ورود به شبکه ‌های سازمانی شناخته می ‌شود. با توجه به نمره CVSS 9.8 (Critical) و عدم نیاز به هیچ پیش ‌نیازی، مهاجم می ‌تواند از خارج از شبکه (در صورت دسترسی به پورت 389 از اینترنت) یا از داخل شبکه (از هر سیستم آلوده) مستقیماً Domain Controller را هدف قرار دهد.

موفقیت در بهره ‌برداری از این آسیب ‌پذیری عملاً به معنای تصاحب کامل هویت سازمانی (Identity Compromise) است و مهاجم می‌تواند

• KRBTGT hash را استخراج کرده و Golden Ticket بسازد.

این یکی از خطرناک ‌ترین حملات در محیط Active Directory مایکروسافت اشاره دارد، KRBTGT (Kerberos Ticket Granting Ticket) یک حساب کاربری ویژه و سیستمی در Active Directory است که نقش کلیدی در پروتکل احراز هویت Kerberos دارد. Golden Ticket (بلیت طلایی) یک TGT جعلی است که مهاجم با استفاده از KRBTGT hash استخراج ‌شده، خودش می ‌سازد، ویژگی‌های خطرناک Golden Ticket شامل این موارد است:

1. مهاجم می ‌تواند خود را هر کاربری (حتی Administrator) معرفی کند
2. می ‌تواند خود را عضو Domain Admins، Enterprise Admins و… قرار دهد
3. می ‌تواند تا ۱۰ سال اعتبار داشته باشد
4. چون TGT امضای معتبر دارد، هیچ لاگی تولید نمی ‌کند و حتی اگر DC ریبوت شود یا KRBTGT reset شود (اگر مهاجم hash قدیمی را داشته باشد)، باز هم دسترسی های مربوطه را خواهد داشت

به صورت خلاصه، KRBTGT hash مانند کلید اصلی گاوصندوق یک سازمان است. اگر مهاجم این کلید را بدزدد، می ‌تواند هر بلیت ورودی (Golden Ticket) که بخواهد بسازد و به تمام اتاق ‌ها (سرورها، فایل ‌ها، سرویس ‌ها) دسترسی داشته باشد. بدون اینکه کسی متوجه شود.

• مهاجم می ‌تواند تمام اعتبارنامه ‌های ذخیره ‌شده در ntds.dit را استخراج کند
• مهاجم می ‌تواند Domain Admin های جدید ایجاد کند
• مهاجم می‌ تواند GPO ها را برای استقرار بدافزار در تمام سیستم ‌های Domain-joined دستکاری کند

Group Policy Object (GPO) یک مکانیزم مرکزی در Active Directory است که به ادمین‌ ها اجازه می ‌دهد سیاست ‌ها و تنظیمات را به صورت خودکار روی تمام سیستم ‌های دامین اعمال کنند. مثال‌ها:

1. نصب نرم ‌افزار روی تمام کامپیوترها
2. اجرای اسکریپت هنگام روشن شدن سیستم (Logon Script)
3. تنظیمات فایروال و آنتی ‌ویروس

با توجه به توانایی های ذکر شده، پیامد ها شامل:

1. استقرار خودکار بدافزار، بدافزار روی تمام هزاران سیستم دامین در عرض چند دقیقه نصب می ‌شود
2. غیرفعال کردن امنیت، آنتی ‌ویروس، فایروال و Windows Defender روی تمام سیستم ‌ها غیرفعال می ‌شوند
3. ایجاد Backdoor دائمی، یک حساب کاربری مخفی با دسترسی Administrator روی تمام سیستم ‌ها ایجاد می ‌شود
4. غیرقابل ردیابی، چون GPO از طریق مکانیزم قانونی Active Directory اعمال می ‌شود، بسیاری از ابزارهای امنیتی آن را تشخیص نمی ‌دهند
5. تداوم دسترسی، حتی اگر مهاجم از سیستم خارج شود، GPO مخرب همچنان فعال است

• مهاجم می ‌تواند Trust relationships را برای گسترش حمله به سایر Forest ها یا Domain ها سوء استفاده کند

در محیط‌ های سازمانی بزرگ، معمولاً چندین Domain یا Forest وجود دارد که با هم ارتباط دارند. Trust Relationship یک قرارداد امنیتی بین دو Domain/Forest است که به کاربران یک Domain اجازه می ‌دهد به منابع Domain دیگر دسترسی داشته باشند. اگر مهاجم یک Domain را تصاحب کند، می‌ تواند از Trust Relationship برای گسترش حملات زیر استفاده کند:

1. SID History Abuse: مهاجم می ‌تواند SID های کاربران Domain دیگر را به حساب ‌های خود اضافه کند و به منابع آن‌ ها دسترسی پیدا کند.
2. Trust Key Extraction: مهاجم کلید رمزنگاری Trust را استخراج می ‌کند و TGT های جعلی برای Domain های دیگر می ‌سازد.
3. Cross-Forest Attack: از یک Forest به Forest دیگر (مثلاً از شرکت اصلی به شرکت همکار) حرکت می‌ کند.
4. Parent-Child Domain Attack: از Domain فرزند به Domain والد (و بالعکس) حرکت می ‌کند.

در نتیجه، تصاحب یک Domain برابر است با تصاحب تمام Domain های مرتبط. حمله از یک شرکت به شرکت ‌های همکار، مشتریان، یا زیرمجموعه ‌ها گسترش می ‌یابد.

• مهاجم می‌ تواند Certificate Authority سازمانی را به خطر بیندازد (ESC attacks)

ESC مخفف Escalation, Subordination, and Compromise است. این یک دسته از آسیب‌پذیری ‌ها در Active Directory Certificate Services (AD CS) است که توسط محققان SpecterOps کشف شده است.

پیش‌نیازهای بهره‌برداری (Prerequisites)

• سرور هدف باید به عنوان Active Directory Domain Controller پیکربندی شده باشد
• پورت UDP 389 (CLDAP) یا رابط RPC سرویس Netlogon از محل مهاجم قابل دسترسی باشد
• استفاده از نسخه آسیب ‌پذیر Windows Server
• عدم نصب وصله امنیتی روی Domain Controller هدف
• نبود محدودیت ‌های شبکه ‌ای مانند فایروال که دسترسی به Netlogon را از منابع غیرقابل اعتماد مسدود کند

رفتار مورد انتظار در حالت امن (Expected Secure Behavior)

• سرویس Netlogon باید قبل از پردازش هر درخواست، اعتبارسنجی کامل طول و ساختار داده ‌ها را انجام دهد
• بافرهای پشته باید با استفاده از مکانیزم ‌های محافظتی مانند Stack Canaries (/GS)، ASLR و DEP محافظت شوند
• سرویس Netlogon باید در صورت تشخیص درخواست ‌های مخرب، آن ‌ها را بدون crash یا اجرای کد رد کند
• دسترسی به پورت ‌های حساس DC (مانند UDP 389، TCP 135، TCP 445) باید فقط از منابع قابل اعتماد شبکه مجاز باشد
• لاگ ‌برداری از رویدادهای Netlogon (Event ID 5800-5899) باید فعال و به SIEM ارسال شود
• اصل Fail Secure، در صورت تشخیص داده ‌هایی با طول غیرمجاز، درخواست باید بلافاصله با خطا رد شود و هیچ داده ‌ای در بافر کپی نشود
• سازمان ‌ها باید از مکانیزم ‌های Protected Users Group و Authentication Silos برای محدود کردن سطح حمله استفاده کنند

راهکارها و کاهش ریسک (Mitigation / Patch Guidance)

اقدامات فوری برای کاهش ریسک:

• به ‌روزرسانی فوری تمام Domain Controller ها
• نصب پچ‌ های امنیتی روی تمام DC ها

اقدامات کوتاه‌مدت / میان‌مدت برای کاهش ریسک:

• محدودسازی دسترسی شبکه ‌ای به Domain Controller ها
• بررسی سلامت Replication قبل و بعد از patch کردن
• اعتبارسنجی سلامت سرویس ‌ها پس از patch

اقدامات بلندمدت برای کاهش ریسک:

• تدوین سیاست Patch Management خودکار برای تمام Domain Controller ها
• پیاده ‌سازی Tiered Administration Model (مدل مدیریتی لایه ‌ای مایکروسافت) برای محافظت از DC ها
• فعال ‌سازی Protected Users Group برای حساب ‌های حساس
• استقرار Authentication Silos و Authentication Policies برای محدود کردن احراز هویت
• مانیتورینگ پیشرفته با Microsoft Defender for Identity (MDI)
• حفاظت از حساب ‌های Break-glass و نگهداری آن ‌ها در محیط آفلاین
• تست منظم Disaster Recovery برای بازیابی Active Directory از backup
• پیاده ‌سازی فرآیندهای منظم تست نفوذ (Penetration Testing) و ارزیابی امنیتی برای کشف زودهنگام آسیب ‌پذیری ‌های مشابه در زیرساخت

تشخیص و مانیتورینگ (Detection & Monitoring)

نشانه‌های تلاش برای سوءاستفاده:

• Crash های غیرمنتظره سرویس Netlogon (Event ID 7031 یا 7034 در System Log)
• ترافیک غیرعادی CLDAP از منابعی که DC نیستند (به ‌ویژه از ایستگاه ‌های کاری یا سرورهای غیرمرتبط)
• افزایش ناگهانی احراز هویت ‌های ناموفق (Event ID 4625) پس از فعالیت مشکوک شبکه
• تغییرات غیرمجاز در Active Directory پس از دسترسی مشکوک (ایجاد کاربران جدید، تغییر GPO ها، تغییر group memberships)
• رویدادهای Event ID 5800-5899 (Netlogon events) با الگوهای غیرعادی
• فعالیت مشکوک روی پورت UDP 389 از IP های خارجی یا segment های غیرمجاز

منابع پیشنهادی برای مانیتورینگ و پایش:

• Windows Event Logs روی DC ها (Security، System، Directory Service، Netlogon)
• سیستم ‌های SIEM برای جمع ‌آوری و تحلیل مرکزی لاگ‌ ها
• Microsoft Defender for Identity (MDI) برای شناسایی رفتارهای مشکوک مرتبط با AD
• Netflow analyzers برای شناسایی ترافیک غیرعادی به پورت UDP 389
• EDR (Endpoint Detection and Response) روی تمام DC ها
• Network IDS/IPS (مانند Snort، Suricata) با signatures اختصاصی برای Netlogon RCE
• Microsoft Advanced Threat Analytics (ATA) یا راهکارهای مشابه

واکنش به حادثه (Incident Response)

• ایزوله ‌سازی فوری Domain Controller های مشکوک از شبکه
• بررسی سلامت Replication بین DC ها و شناسایی DC های آلوده
• بازنشانی فوری KRBTGT password (دو بار متوالی) برای بی‌اعتبار کردن Golden Tickets احتمالی
• بازنشانی تمام رمزهای عبور Domain Admin و حساب ‌های حساس
• بررسی کامل ntds.dit برای شناسایی کاربران یا گروه ‌های غیرمجاز
• بازبینی GPO ها برای شناسایی تغییرات مخرب
• بررسی کامل لاگ ‌های 90 روز گذشته برای شناسایی زمان شروع نفوذ
• اسکن تمام سیستم ‌های Domain-joined برای شناسایی backdoors یا persistence mechanisms
• راه ‌اندازی مجدد Forest Recovery در صورت آلودگی گسترده (با استفاده از backup های سالم پیش از نفوذ)
• مستندسازی کامل حادثه (زمان وقوع، نشانه‌ها، اقدامات انجام‌شده، درس‌آموخته‌ها) و گزارش به مدیریت ارشد و تیم واکنش سریع (CSIRT)

جریان حمله (Attack Flow)

در نمودار زیر (شکل ۱)، مهاجم از طریق شبکه به پورت UDP 389 (CLDAP) یک Domain Controller آسیب‌پذیر دسترسی پیدا می ‌کند. مهاجم ابتدا با ارسال درخواست ‌های CLDAP با NtVer = 0x02 (نه 0x16)، مسیر کد به تابع آسیب‌پذیر BuildSamLogonResponse را فعال می‌ کند. مهاجم با استفاده از ابزار تشخیص غیرمخرب longlogon.py، بررسی می‌کند که آیا طول نام دامنه DC هدف به اندازه ‌ای هست که پیش ‌شرط سرریز بافر (حداقل 98 کاراکتر) برقرار باشد یا خیر. پس از تأیید آسیب ‌پذیری، مهاجم یک درخواست CLDAP مخرب با فیلد User طولانی و ساختار دستکاری ‌شده ایجاد می ‌کند. بسته به سرویس Netlogon روی DC ارسال می ‌شود. تابع NetpLogonPutUnicodeString هنگام نوشتن terminator دو بایتی L’\0′ بدون بررسی فضای بافر، بافر پشته 528 بایتی را سرریز می ‌کند. مهاجم با استفاده از تکنیک ‌های ROP و Return Address،  __security_cookie را بازنویسی کرده و کنترل جریان اجرا را در context  پردازه lsass.exe به دست می ‌گیرد. کد shellcode مهاجم با سطح دسترسی NT AUTHORITY\SYSTEM اجرا می ‌شود. مهاجم کنترل کامل Domain Controller و Active Directory را به دست می ‌آورد و می ‌تواند KRBTGT hash را استخراج کرده و Golden Ticket بسازد.

شکل 1: جریان اجرای آسیب پذیری

اثبات مفهوم (PoC) — کاملاً غیرمخرب

آزمایشگاه تخصصی Vulnerbyte، این آسیب‌پذیری را در محیط ایزوله و کنترل‌شده با استفاده از نسخه آسیب‌پذیر بررسی و اجرا کرده است

• این آزمایشگاه شامل نسخه یک Active Directory Domain با Domain Controller زیر است:

1. DC: Windows Server 2022 (آسیب ‌پذیر)
2. نام دامنه: advancedtechnol.research.innovation.tech.corp.local (طول 98+ کاراکتر برای فعال ‌سازی پیش ‌شرط سرریز)

• اجرای اسکریپت longlogon.py با دستور زیر: (این ابزار صرفاً بررسی می ‌کند که آیا پیش ‌شرط سرریز بافر (طول نام دامنه) برقرار است یا خیر، بدون اینکه هیچ‌گونه crash یا overflow ایجاد کند)

python3 longlogon.py 192.168.180.12 globaldepartmentofengineeringresearchandinnovation.advancedtechnol.research.innovation.tech.corp.local

خروجی اسکریپت longlogon.py:

[+] DC: 192.168.180.12
[+] Domain: globaldepartmentofengineeringresearchandinnovation.advancedtechnol.research.innovation.tech.corp.local
[+] NtVer: 0x02 (legacy BuildSamLogonResponse path)
[+] Buffer fill analysis:
    - DNS Forest Name: 72 chars
    - Domain Name: 98 chars
    - Host Name: 7 chars
    - Total: 177 chars (exceeds 264-char buffer with terminators)
[!] PRECONDITION MET: Domain is long enough to trigger overflow on unpatched DC
[!] This DC would crash with STATUS_STACK_BUFFER_OVERRUN (0xc0000409)

• اجرای PoC در محیط آزمایشگاهی منجر به تشخیص آسیب پذیر بودن سامانه آسیب‌پذیر شد
• این اثبات مفهوم صرفاً توصیفی و آموزشی بوده و شامل تغییرات مخرب نمی‌شود

شکل 2: اجرای POC

رفع مسئولیت

این گزارش صرفاً با هدف آموزش، تحلیل فنی و ارتقای امنیت سازمانی تهیه شده است. هرگونه استفاده مخرب یا خارج از چارچوب‌های قانونی از محتوای آن ممنوع است.

منابع

https://www.cve.org/CVERecord?id=CVE-2026-41089

https://nvd.nist.gov/vuln/detail/CVE-2026-41089

https://cwe.mitre.org/data/definitions/121.html

https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-41089

https://github.com/hnytgl/CVE-2026-41089

https://github.com/0xBlackash/CVE-2026-41089

https://github.com/ADScanPro/CVE-2026-41089-LongLogon

https://adscanpro.com/blog/patch-diffing-cve-2026-41089-netlogon