Mehrere Schwachstellen entdeckt, die in Notepad++ die Ausführung beliebigen Codes ermöglichen

• Jaroslav Lobačevski, Sicherheitsforscher bei GitLab, hat in einigen von Notepad++ verwendeten Funktionen und Bibliotheken Overflow-Schwachstellen entdeckt.
• Notepad++ hat bislang keinen Patch für die Schwachstellen bereitgestellt, diese wurden jedoch gemäß der Offenlegungsrichtlinie vorab veröffentlicht.
• Die Schwachstellen sind wie folgt und weisen laut CVE einen Schweregrad von 5.5 (mittel) bis 7.8 (hoch) auf.
  • CVE-2023-40031 : Heap-Buffer-Write-Overflow in Utf8_16_Read
  • CVE-2023-40036 : Globaler Buffer-Read-Overflow in CharDistributionAnalytic
  • CVE-2023-40164 : Globaler Buffer-Read-Overflow in nsCodingStateMachine
  • CVE-2023-40166 : Heap-Buffer-Read-Overflow in FileManager
• Zusammen mit den Schwachstellen wurde auch ein detaillierter Bericht veröffentlicht, der Proof-of-Concepts und Beispielcode enthält.

[kuroneko]

• HN-Thread

Es scheint nicht so zu sein, dass eine Remote-Code-Ausführung zwingend möglich ist, eher nur, dass die Möglichkeit besteht.
Es scheint auch die Meinung zu geben, dass eine Ausnutzung schwierig wäre.

Wie dem auch sei, es ist jedenfalls merkwürdig, dass es kein Update gibt.

[kuroneko]

KI-Zusammenfassung

• amiga386: Erwähnt, dass zwar ein Bug gefunden wurde, die Ausnutzung aber schwierig zu sein scheint. Hofft, dass der Entwickler das Problem erkennt und behebt.
• boxed: Weist darauf hin, dass die Korrekturen zum Zeitpunkt der Offenlegung offenbar noch nicht tatsächlich umgesetzt waren.
• esrauch: Argumentiert, dass das Problem ernster ist als gedacht, da schon das Öffnen einer bösartigen Datei einen Exploit auslösen kann.
• layer8: Meint, dass allein das Öffnen einer bösartigen Datei ausreicht, da der Exploit über E-Mail-Anhänge verbreitet werden kann.
• inferiorhuman: Liefert den Kontext, dass die Windows API standardmäßig UTF-16 statt UTF-8 verwendet.
• Fulgen: Schlägt vor, dass Notepad++ zum Konvertieren von UTF-16 in UTF-8 die Windows API statt einer eigenen Implementierung verwenden könnte.
• PrimeMcFly: Zieht angesichts solcher Probleme in Betracht, vorrangig einen eigenen einfachen Texteditor zu schreiben.
• nijave: Äußert Enttäuschung darüber, dass Notepad++ hinter leichtgewichtigen Editoren wie Visual Studio Code zurückgefallen ist.
• baal80spam: Ordnet Texteditoren nach ihrer wahrgenommenen Leichtgewichtigkeit ein und platziert Notepad++ zwischen Notepad2 und VS Code.
• currysausage: Diskutiert leichte Alternativen zu Notepad++ wie Notepad2, Notepad2-mod und Notepad3.