Notepad++で任意のコード実行が可能な複数の脆弱性が発見される

 (cybersecuritynews.com)
5 ポイント 投稿者 kuroneko 2023-09-05 | 2件のコメント | WhatsAppで共有
  • GitLabのセキュリティ研究者 Jaroslav Lobačevski 氏が、Notepad++で使用されている一部の機能とライブラリにオーバーフロー脆弱性を発見。
  • Notepad++はまだ脆弱性に対するパッチを提供していないが、公開ポリシーに従って脆弱性が先に公開された。
  • 脆弱性は以下のとおりで、CVE基準で5.5（中程度）から7.8（高）程度の深刻度を持つ。
    • CVE-2023-40031 : Utf8_16_Readのヒープバッファ書き込みオーバーフロー
    • CVE-2023-40036 : CharDistributionAnalyticのグローバルバッファ読み取りオーバーフロー
    • CVE-2023-40164 : nsCodingStateMachineのグローバルバッファ読み取りオーバーフロー
    • CVE-2023-40166 : FileManagerのヒープバッファ読み取りオーバーフロー
  • 脆弱性の概念実証とサンプルコードを含む詳細レポートもあわせて公開された。

関連記事

2件のコメント

 
kuroneko 2023-09-05

任意コード実行が必ず可能というわけではなく、その可能性があるという程度のようです。
悪用は難しそうだという意見もあるようです。

とはいえ、アップデートがないのは不思議ですね。
 
kuroneko 2023-09-05

AI要約

  • amiga386: バグは発見されたものの、悪用は難しそうだと述べています。開発者がこの問題を把握して修正することを期待しています。
  • boxed: 公開日を基準にすると、修正が実際には実装されていないと指摘しています。
  • esrauch: 悪意のあるファイルを開くだけでエクスプロイトを引き起こせるため、この問題は思った以上に深刻だと主張しています。
  • layer8: メールの添付ファイルを通じてエクスプロイトが配布され得るため、悪意のあるファイルを開くだけで十分だと主張しています。
  • inferiorhuman: Windows APIはデフォルトでUTF-8ではなくUTF-16を使用するという文脈を補足しています。
  • Fulgen: Notepad++は独自実装ではなくWindows APIを使ってUTF-16をUTF-8に変換できると提案しています。
  • PrimeMcFly: こうした問題を踏まえ、まず独自の基本的なテキストエディタを書くことを検討しています。
  • nijave: Notepad++がVisual Studio Codeのような軽量エディタに比べて遅れを取っていることに失望を表明しています。
  • baal80spam: 体感的な軽さに基づいてテキストエディタを順位付けし、Notepad++をNotepad2とVS Codeの間に位置付けています。
  • currysausage: Notepad2、Notepad2-mod、Notepad3のようなNotepad++の代替となる軽量エディタについて議論しています。