Exploit for CVE-2026-41089-LongLogon

## https://sploitus.com/exploit?id=KITPLOIT:TOOLS-GITHUB-ADSCANPRO-CVE-2026-41089-LONGLOGON
# LongLogon · CVE-2026-41089

![CVE-2026-41089 · NVD](https://img.shields.io/badge/CVE--2026--41089-NVD-1f6feb?style=flat-square&labelColor=24292f) ![MSRC advisory](https://img.shields.io/badge/MSRC-advisory-005a9e?style=flat-square&labelColor=24292f) ![CVSS 3.1 9.8](https://img.shields.io/badge/CVSS_3.1-9.8-d11a2a?style=flat-square&labelColor=24292f) ![CWE-121 stack buffer overflow](https://img.shields.io/badge/CWE--121-stack_buffer_overflow-f08c00?style=flat-square&labelColor=24292f)   
![checker · non-destructive](https://img.shields.io/badge/checker-non--destructive-2ea043?style=flat-square&labelColor=24292f) ![unauthenticated · pre-auth](https://img.shields.io/badge/vector-unauthenticated-1AA0AE?style=flat-square&labelColor=24292f) ![run with uv](https://img.shields.io/badge/run-uv-261230?style=flat-square&labelColor=24292f) ![MIT license](https://img.shields.io/badge/license-MIT-3fb950?style=flat-square&labelColor=24292f)

> **LongLogon** 은 **CVE-2026-41089** 에 대한 인증되지 않은, 비파괴적인 **사전 조건 검사기** 입니다. 이 취약점은 Windows **Netlogon** 서비스의 사전 인증 스택 버퍼 오버플로우입니다. 자격 증명 없이, 그리고 오버플로우를 전송하지 않고, 도메인 컨트롤러의 DNS 도메인 이름이 버그를 크래시시키기에 충분히 긴지 여부를 보고합니다.

![LongLogon checking a domain controller](https://assets.kitploit.com/production/public/readmes/14882/1974909cacfaaeb84c40505ded65da9c121a60073bc1f575107c0d1464b73396.gif)

## 공개 PoC가 실제로 동작하나요?

일반적인 이름을 가진 도메인 컨트롤러에서는 그렇지 않습니다. 이 CVE에 대한 공개 **익스플로잇** PoC(가장 많은 별표를 받은 것과 그 복사본들)는 긴 사용자 이름을 전송하여 도메인 컨트롤러를 크래시시킨다고 주장합니다. 그러나 패치 전후 `netlogon.dll`을 비교하고 실험실에서 크래시를 재현하여 확인된 두 가지 이유로 인해 일반 도메인에서 패치되지 않은 DC를 크래시시키지 않습니다:

  1. **잘못된 NtVer.** V5EX 비트(`0x16`)가 설정된 상태로 핑을 보내며, 이는 경계 검사가 적용되는 `BuildSamLogonResponseEx`로 라우팅됩니다. 취약한 레거시 `BuildSamLogonResponse`는 해당 비트가 지워진 경우에만 도달할 수 있습니다. LongLogon은 `0x02`를 사용합니다.
  2. **긴 사용자 이름만으로는 오버플로우가 발생하지 않습니다.** 공격자가 제어하는 `User` 필드는 바이너리에 의해 130와이드 문자로 제한되며, 528바이트 버퍼에 훨씬 못 미칩니다. 스택 쿠키 위로 쓰기를 수행하는 바이트는 서버 자체의 긴 DNS 이름이며, 페이로드 길이에 의해 변경되지 않습니다.



따라서 널리 알려진 익스플로잇은 일반 도메인에서 실패하며, 단일 UDP 패킷 손실이 정상 DC에서 발생시키는 `recv` 타임아웃이 크래시로 오인됩니다. LongLogon은 그러한 익스플로잇 중 하나가 아닙니다: 이는 수정되고 바이너리로 검증된 분석을 비파괴적 검사기로 제공하며, 오버플로우를 절대 전송하지 않습니다. 실험실에서 확인된 크래시 임계값과 전체 메커니즘은 아래에 있습니다.

## CVE-2026-41089란 무엇인가

Netlogon DC-로케이터 경로 `NlGetLocalPingResponse` → `BuildSamLogonResponse` → `NetpLogonPutUnicodeString`에서 발생하는 스택 기반 버퍼 오버플로우(CWE-121, CVSS 9.8)입니다. CLDAP 또는 MAILSLOT 핑에 응답할 때 DC는 자체의 포리스트, 도메인 및 호스트 이름과 공격자가 제어하는 작은 문자열을 고정된 **528바이트 스택 버퍼**(`ushort local_258[264]`)에 직렬화하며, 스택 쿠키는 버퍼 바로 뒤에 위치합니다. **서버 자체의 DNS 이름이 충분히 긴 경우** , 누적 쓰기가 버퍼 끝에 도달하고 후행 `L'\0'` 종결자가 쿠키를 초과하여 `__report_gsfailure`가 발생하고 `lsass.exe`가 `STATUS_STACK_BUFFER_OVERRUN` (`0xc0000409`)과 함께 종료됩니다. 도메인 컨트롤러가 재부팅됩니다. 인증되지 않은 단일 UDP 패킷입니다.

**Zerologon**(CVE-2020-1472)이 모두 **0** 인 챌린지를 악용한 반면, **LongLogon** 은 병리학적으로 **긴** 도메인 이름을 악용합니다.

## 이 도구가 확인하는 것과 확인하지 않는 것

`longlogon.py`는 **비파괴적** 입니다. 최소한의 `User` 필드로 무해한 CLDAP 핑을 전송하고, 레거시 빌더 응답을 측정하여 **오버플로우 사전 조건** 이 충족되는지, 즉 이 DC의 도메인이 _패치되지 않은_ DC를 크래시시킬 만큼 긴지 여부를 보고합니다.

다음 작업을 수행하지 **않습니다** :

  * 오버플로우를 전송하거나 아무것도 크래시시키지 않음
  * **패치 상태** 를 확인하지 않음. 패치된 DC는 _동일한_ 코드 경로를 취하고 너무 긴 쓰기를 거부하므로, 일반적인 이름의 DC에서 패치 여부를 네트워크를 통해 구분할 수 없습니다.



실제로 패치된 DC를 식별하려면 전체 플릿에 대한 자격 증명(관리자) 버전 확인이 필요합니다. 이는 ADscan이 엔게이지먼트에서 자동화하는 종류의 작업입니다(아래 참조).

## 거의 모든 실제 DC가 안전한 이유

버퍼에 도달하는 유일한 공격자 제어 바이트는 CLDAP `User` 필터에서 오며, **130와이드 문자** 로 제한되어 단독으로는 528바이트 버퍼에 훨씬 못 미칩니다. 커서를 쿠키 위로 운반하는 바이트는 공격자가 제어하지 않는 **서버 자체의 이름** 입니다. 기본 이름의 DC(`corp.local`)는 크래시될 수 없습니다. 이것이 Microsoft가 **"Exploitation Less Likely"** 로 평가한 이유입니다. 실험실에서 Windows Server 2016(7자 호스트 이름 기준)을 크래시시키는 최소 DNS 도메인 길이는 **98자** 였습니다.

## 사용법

uv를 사용하면 설정이 필요 없습니다. 종속성은 인라인(PEP 723)으로 선언되므로 임시 환경에 `rich`가 자동으로 설치됩니다:

root@kitploit:~
    
    
    uv run longlogon.py <dc-ip> <dc-dns-domain>
    

또는 pip 사용:

root@kitploit:~
    
    
    pip install rich
    python3 longlogon.py <dc-ip> <dc-dns-domain>
    

DNS 도메인은 DC가 제공하는 것과 일치해야 합니다. 이는 비밀이 아닙니다: rootDSE, 역방향 DNS, CLDAP 자체 모두 이를 드러냅니다. 출력은 사전 조건 판정과 필드별 버퍼 채움 계산입니다.

**NtVer 라우팅이 중요합니다.** 취약한 레거시 `BuildSamLogonResponse`는 `(NtVer & 0xc) == 0`이고 `(NtVer & 0x2) != 0`일 때만 도달할 수 있습니다. `NtVer=0x16` 또는 `0x06`을 전송하는 공개 익스플로잇 시도는 비트 2(`0x4`)를 설정하고 경계 검사가 적용된 `BuildSamLogonResponseEx`에 도달하므로 버그를 절대 트리거하지 않습니다. LongLogon은 `0x02`를 사용합니다.

## 영향을 받는 빌드

패치되지 않은 Windows Server 도메인 컨트롤러, 2012 R2부터 2025까지. 최초 패치 빌드:

## 책임 있는 사용

**승인된** 보안 연구 및 방어적 검증 용도로만 사용하십시오. 이 저장소는 **비파괴적인 사전 조건 검사기** 를 제공하며, 무기화된 크래셔가 아닙니다. 이는 현재 악용 중인 웜 가능 CVE입니다. 도메인 컨트롤러를 패치하십시오.

## 더 알아보기

  * **전체 연구 보고서:** 패치 비교를 통한 버그 위치 확인 방법, 정확한 버퍼 메커니즘, 그리고 공개 PoC가 작동하지 않는 이유. https://adscanpro.com/blog/patch-diffing-cve-2026-41089-netlogon
  * **ADscan LITE** (무료, 오픈소스): 하나의 터미널에서 Active Directory 침투 테스트. 열거, BloodHound 수집, Kerberoasting, ADCS, 공격 경로, 증거. https://github.com/ADScanPro/adscan
  * **ADscan PRO:** 팀이 AD 엔게이지먼트를 수행할 때 동일한 킬체인 자동화. https://adscanpro.com/pro



* * *

연구: Yeray Martín Domínguez · ADscan · CVE-2026-41089 · Netlogon · Active Directory · 도메인 컨트롤러 · 스택 버퍼 오버플로우 · CLDAP · 인증되지 않음 · 사전 인증 · proof of concept