پژوهشگران Corelight یک آسیب‌پذیری بحرانی در Windows Server کشف کرده‌اند که به مهاجمان با دسترسی شبکه اجازه می‌دهد تنها با ارسال یک پاسخ مخرب DFS referral، سیستم‌های هدف را به طور کامل متوقف (Crash) کنند.
جزئیات فنی و ریشه آسیب‌پذیری
این نقص امنیتی که با شناسه CVE-2026-70111 ردیابی می‌شود، نسخه‌های ۲۰۱۹، ۲۰۲۲ و ۲۰۲۵ ویندوز سرور را تحت تأثیر قرار می‌دهد. منشأ این مشکل در درایور کرنل mup.sys نهفته است که مسئول تحلیل مسیرهای Distributed File System (DFS) است. طبق گزارش‌ها، مایکروسافت این نقص را در به‌روزرسانی‌های اکتبر ۲۰۲۶ برطرف کرده است.
اگرچه یک پاسخ تغییریافته (Malformed) می‌تواند منجر به کرش سیستم شود، اما بهره‌برداری از آن نیازمند یک توالی اجبار (Coercion sequence) است تا سیستم قربانی مجبور شود به یک سرور SMB تحت کنترل مهاجم متصل شود. نکته قابل توجه این است که عامل تهدید برای اجرای این حمله نیازی به دسترسی‌های مدیریتی یا دسترسی به یک Domain Controller قانونی ندارد.
مکانیسم حمله و تحلیل کرنل
تحلیل‌ها نشان می‌دهد که این آسیب‌پذیری در تابع PktExpandSpecialEntryFromReferral() و در هنگام پردازش NameList referrals رخ می‌دهد. زمانی که فیلد ReferralEntryFlags حاوی پرچم 0x0002 باشد، تابع مذکور از ExpandedNameOffset برای یافتن نام کنترل‌کننده دامنه استفاده کرده و تابع wcslen() را روی اشاره‌گر حاصل فراخوانی می‌کند.
در نسخه‌های قدیمی‌تر ویندوز، بررسی‌هایی برای اطمینان از وجود حداقل یک کاراکتر در نام گسترش‌یافته وجود داشت، اما این محافظ در نسخه‌های آسیب‌پذیر سرور حذف شده است. این خطا باعث می‌شود یک اشاره‌گر به یک رشته WCHAR خالی برسد و منجر به Kernel null-pointer dereference شود که نتیجه آن بروز صفحه آبی مرگ (BSOD) و توقف کامل سرور در عرض چند ثانیه است.
تأثیرات و توصیه‌های امنیتی
- دامنه تأثیر: سیستم‌عامل ویندوز ۱۰ به دلیل حفظ بررسی‌های امنیتی در کد، تحت تأثیر این آسیب‌پذیری نیست.
- تأثیر عملیاتی: اگرچه ری‌بوت خودکار سیستم ممکن است قطعی‌ها را محدود کند، اما حملات تکرار شونده می‌تواند منجر به عدم دسترسی دائمی به سرور شود.
- شناسایی: مدیران سیستم می‌توانند شناسه‌های رویداد (Event IDs) ۴۱ و ۶۰۰۸ را در Logهای سیستم مشاهده کنند که نشان‌دهنده خاموش شدن غیرمنتظره است.
به مدیران امنیت توصیه می‌شود به‌روزرسانی‌های مربوطه را در اولویت قرار دهند و به جای تکیه بر دیداری محیطی (Perimeter visibility)، ترافیک داخلی SMB2 را به دقت مانیتور کنند تا الگوهای اتصال‌های مشکوک و قطع ناگهانی نشست‌ها (Sessions) را شناسایی نمایند.
