Windows DNS 漏洞风暴：2026 年最危险的攻击面#

2.1 漏洞概览#

CVE-2026-41096 是 Windows DNS Client（dnsapi.dll）中的一个堆缓冲区溢出漏洞，CVSS 评分 9.8。安全研究员 m0n1x90 对其进行了详尽的逆向分析并公开了 PoC。

核心特征：

• 无认证、无用户交互：只需目标设备发起一次普通 DNS 查询
• 影响所有 Windows 设备：dnsapi.dll 是每个 Windows 系统的核心组件
• 触发方式极简：恶意 DNS 服务器返回一个精心构造的响应包即可

2.2 漏洞根因：DnsRawTruncateMessageForUdp 的致命假设#

m0n1x90 通过对补丁前后 dnsapi.dll 的二进制 diff（使用 ghidriff），在 3750 个函数中锁定了变更最大的 DnsRawTruncateMessageForUdp 函数。该函数在 UDP DNS 响应超出 512 字节限制时负责截断报文。

要理解漏洞，首先需要了解 dnsapi.dll 内部使用的 DNS_MSG_BUF 内存布局：

1
┌──────────────────────────────────────────┐
2
│ Offset 0x000 - 0x247:  内部元数据        │
3
│ (标志位、指针、状态信息)                 │
4
├──────────────────────────────────────────┤
5
│ +0x248: cbMessageLength (uint32)         │
6
│ +0x250: pBufferEnd (指向报文末尾的指针)   │
7
│ +0x2BA: wMessageLength (uint16)          │
8
├──────────────────────────────────────────┤ ← 报文起始于 +0x2BC (偏移 700 字节)
9
│ +0x2BC: Transaction ID  (2 bytes)       │
10
│ +0x2BE: Flags           (2 bytes)       │
11
│ +0x2C0: QDCOUNT         (2 bytes) ← 关键│
12
│ +0x2C2: ANCOUNT         (2 bytes)       │
13
│ +0x2C4: NSCOUNT         (2 bytes)       │
14
│ +0x2C6: ARCOUNT         (2 bytes)       │
15
│ +0x2C8: 数据段 (变长)                    │
16
└──────────────────────────────────────────┘

堆分配的大小计算方式为：max(512, wire_size) + 0x2C3。对于一个 623 字节的响应，实际分配约为 1330 字节。

漏洞的关键在于 Packet_SkipToRecord 的行为。 该函数用于在 DNS 报文中跳过前 N 条记录，定位到特定偏移。它的决策逻辑依赖于 DNS 头部各计数字段——当 QDCOUNT=0 时，函数无法正确判断应该跳过多少内容。

1
正常流程（QDCOUNT > 0）：
2
  Packet_SkipToRecord(buf, n)
3
  → 跳过 Header (12 bytes)
4
  → 跳过 n 条 Question 记录
5
  → 跳到 Answer 区域
6
  → 返回正确偏移 ✓
7

8
攻击流程（QDCOUNT = 0）：
9
  Packet_SkipToRecord(buf, n), QDCOUNT=0
10
  → 认为没有 Question 需要跳过
11
  → 直接在 Header 后开始处理
12
  → 但实际数据中存在超长的 OPT 伪记录
13
  → 返回错误的偏移 ✗

2.3 溢出机制#

当 DnsRawTruncateMessageForUdp 基于错误偏移进行截断操作时，写入位置超出了缓冲区边界。m0n1x90 精确测算出：溢出量为 604 字节——这在堆分配的空间中足以覆盖相邻的堆块元数据或相邻对象的数据，为代码执行提供了可能。

攻击者构造的恶意 DNS 响应需要满足以下条件：

1. QDCOUNT = 0（使 Packet_SkipToRecord 失效）
2. 包含一个超大 OPT 记录（EDNS0），填充到接近 UDP 上限
3. 响应总大小超过 512 字节，触发 UDP 截断路径

2.4 攻击场景#

攻击路径非常直接：

1
攻击者 (恶意 DNS 服务器 / MitM)
2
  │
3
  │  受害主机发起 DNS 查询
4
  │  (例如浏览器访问某个域名)
5
  │  ─────────────────────────→
6
  │
7
  │  返回恶意构造的 DNS 响应
8
  │  (QDCOUNT=0, 超长 OPT 记录)
9
  │  ←─────────────────────────
10
  │
11
  ▼
12
dnsapi.dll 解析响应
13
  → Packet_SkipToRecord 返回错误偏移
14
  → DnsRawTruncateMessageForUdp 越界写入 604 字节
15
  → 堆内存损坏
16
  → 潜在的任意代码执行

实际场景包括：

• 恶意 Wi-Fi 热点：公共 Wi-Fi 部署恶意 DNS 服务器
• 被入侵的路由器：篡改 DNS 配置指向攻击者服务器
• 中间人攻击：在不受信任的网络上拦截 DNS 流量
• 上游 DNS 投毒：攻击者控制上游递归解析器

2.5 在野利用与 CISA KEV#

2026 年 5 月 29 日，CVE-2026-41096 被确认存在在野利用。CISA 将其纳入已知被利用漏洞目录（KEV），要求联邦机构在规定期限内完成修复。到 2026 年 6 月，GitHub 和 Exploit-Intel 上已出现至少 7 个公开 PoC/Exploit，其中多个标记为”可直接使用”。

3.1 DNS Server 的完美 10.0#

7 月补丁日中，CVE-2026-58248 和 CVE-2026-58249 并列本月 CVSS 最高分——10.0。两者均影响 Windows DNS Server，类型为远程代码执行。

DNS Server 运行在 Windows Server 的 DNS 角色上，通常部署在域控制器上。这意味着一次成功的利用可以直接攻破企业整个身份认证基础设施。与 DNS Client 漏洞相比，DNS Server 的攻击面更大：

3.2 7 月 Windows DNS 完整漏洞清单#

除 58248/58249 外，JPRS（日本注册服务）统计了本次补丁日中 Windows DNS 的完整漏洞清单——共 10 个以上：

这些漏洞涵盖了 DNS 生态的几乎所有层面——Server 端的 RCE、Client 端的篡改与提权、乃至 Zero Trust DNS 的安全功能绕过。这种全方位的打击在微软补丁史上是罕见的。

4.1 MDASH：AI 驱动的漏洞发现引擎#

一个关键转折点是微软在 5 月补丁日中首次公开了其内部 AI 漏洞发现系统——MDASH（Multi-model Agentic Scanning Harness）。该系统在 5 月就贡献了 16 个漏洞发现，到了 7 月补丁日，AI 辅助发现的比例进一步上升。

微软 VP of Engineering Tom Gallagher 在 5 月的声明中坦言：

“本月的发布量处于热补丁月份的较高端，我们预计未来发布量将继续呈上升趋势。”

这一预言在 7 月得到印证——从 137 个 CVE 暴涨至 622 个。

传统的人工代码审计难以全面覆盖 Windows 数十年的代码积累。DNS 实现涉及复杂的协议解析、内存管理和边界条件处理，正是 AI 模糊测试和静态分析工具的”最佳猎场”。

4.2 技术债务的集中清算#

Windows DNS 的实现可以追溯到 Windows NT 时代。几十年来，这部分代码在”能跑就别动”的原则下很少被大规模重构。以下因素叠加导致了漏洞的集中暴露：

1. C 语言实现的固有风险：手动内存管理，缺乏边界检查
2. DNS 协议的复杂性：压缩指针、EDNS0 扩展、DNSSEC 签名验证等增加了状态机复杂度
3. 遗留代码路径：UDP 截断、TCP 回退、缓存逻辑中存在大量历史遗留分支
4. AI 工具的规模化扫描能力：能够在数小时内遍历人工需要数月的代码路径

4.3 安全研究社区的关注度转移#

随着操作系统安全加固的推进，传统的 RPC、SMB 攻击面逐渐被收紧，安全研究者自然将目光转向了防御相对薄弱的 DNS。ZDI 的 Dustin Childs 评价：

“DNS Client 运行在几乎所有 Windows 机器上，攻击面巨大。能够在 DNS 响应路径上施加影响的攻击者（MitM、恶意 DNS 服务器），可以对整个企业环境实现未认证 RCE。“

5.1 DNS Server 是域控制器的命门#

在企业 AD 环境中，DNS Server 角色通常与域控制器（DC）部署在同一台服务器上。这是因为 AD 域严重依赖 DNS 来定位服务（SRV 记录）：

• _ldap._tcp.dc._msdcs.<domain> — LDAP 服务
• _kerberos._tcp.dc._msdcs.<domain> — Kerberos 认证
• _gc._tcp.<site>._sites.<domain> — 全局编录

攻破 DC 上的 DNS Server = 攻破整个域。 这是为什么 CVE-2026-58248/58249 获得 CVSS 10.0 满分的原因——它直击企业安全架构的”单点故障”。

5.2 DNS Client 触及每一台设备#

DNS Client (dnsapi.dll) 运行在每一台 Windows 设备上，包括：

• 办公终端（11 个 Windows 版本受影响）
• 服务器（12 个 Windows Server 版本，回溯至 2012）
• Server Core 安装
• 虚拟桌面和 VDI 环境

且 DNS Client 无法禁用——禁用意味着失去所有网络功能。这种”不可移除的攻击面”使 DNS Client 漏洞具有天然的广泛性。

5.3 DNS 是网络中最受信任的协议#

防火墙放行 DNS（UDP/TCP 53），EDR 通常不深度检查 DNS 响应内容，SIEM 将 DNS 流量视为”背景噪音”。攻击者利用 DNS 作为初始入侵向量可以绕过大部分边界防护——这也是 APT 组织长期偏爱 DNS 隧道和 DNS 隐蔽信道的原因。

6.1 立即行动#

1. 安装 2026 年 7 月累积更新：这是修复 CVE-2026-58248/58249 等全部 DNS 漏洞的唯一可靠方式
2. 优先修补域控制器：运行 DNS Server 角色的 DC 应排在补丁计划的最前面
3. 验证补丁安装：

1
# 检查 7 月累积更新是否已安装
2
Get-HotFix | Where-Object { $_.HotFixID -like "KB5099*" } | Select-Object HotFixID, InstalledOn

6.2 架构层面加固#

• 限制 DNS 出站：端点只允许向内部可信 DNS 解析器发送查询，阻止直连公网 DNS
• 启用 DNSSEC 验证：在内部解析器上启用，检测并拒绝被篡改的 DNS 响应
• DNS-over-HTTPS 管控：如果不需要，在组策略中禁用 DoH 以缩小攻击面
• 网络分段：将 DNS Server 部署在独立管理网段，限制非必要访问

6.3 检测与监控#

• 监控 svchost.exe（承载 DNS Client 服务）的异常子进程创建
• 关注 DNS 响应中异常大的 UDP 包（> 512 字节的响应比例异常升高）
• 跟踪 dnsapi.dll 上下文中的异常 DLL 加载
• 对 DNS Server 启用增强日志记录，审计查询模式变化