Eine frische Version von Notepad++ mit der Nummer v8.9.8 ist am gestrigen Sonntag erschienen. Der Programmierer Don Ho hat darin etwas mehr als ein Dutzend Schwachstellen ausgebessert. Nutzerinnen und Nutzer der Software sollten zügig das Update anwenden.
Weiterlesen nach der Anzeige
In der Release-Ankündigung fasst Ho die einzelnen Sicherheitslücken sehr knapp zusammen. Allen gemein ist, dass sie noch keinen CVE-Schwachstelleneintrag erhalten haben. Es fehlt zudem eine Einordnung des Risikos der Lücken nach CVSS.
Dennoch lässt sich bei einigen Lücken erahnen, dass Angreifer sie etwa zum Einschleusen von Schadcode missbrauchen können. Das ist beispielsweise bei einem „Time-of-Check Time-of-Use“-(TOCTOU)-Problem des Notepad++-Updaters WinGUp (Nummer 5 in der Liste) vermutlich denkbar. Die Umgehung des HMAC-Schutzes mit der Datei „shortcuts.xml“ über die Funktion „Makro mehrfach ausführen“ klingt ebenso, als ob dadurch unbefugt Code ausgeführt werden könnte (Nummer 8 der Liste).
Auch Rechteausweitungslücken enthalten
Wahrscheinlich hat ein Problem mit der Zielumleitung im Ordner als Arbeitsbereich durch „Vom System ausführen“ als Auswirkung, dass bösartige Akteure damit ihre Rechte im System ausweiten können. Auch konnte ein Prozess mit niedrigem Integrity Level Windows-Nachrichten an den mit höherem Integrity Level laufenden Notepad++ senden, was die Prozess-Rechtetrennung von Windows aufweicht. Zudem ließ sich die User Interface Privilege Isolation (UIPI) mittels „WM_COPYDATA“ aushebeln.
Das Update steht unter anderem über WinGet bereit. Nach dem Start der Eingabeaufforderung, etwa nach Eingabe von „cmd“ im Startmenü, befördert der Befehl winget upgrade –all die aktualisierte Fassung und weitere Softwareupdates aufs System. Der in Notepad++ integrierte Updatemechanismus, der sich im Menü unter „?“ befindet und dort nach Klick auf „Notepad++ aktualisieren“ startet, sollte die Aktualisierung ebenfalls in Kürze herunterladen und installieren können.
Zuletzt hatte Don Ho in Notepad++ mit einem Update vom Ende Mai dieses Jahres drei Sicherheitslücken geschlossen. Zwei davon galten dort als hohes Risiko und ermöglichten Angreifern, Schadcode oder Befehle einzuschleusen und auszuführen.
Weiterlesen nach der Anzeige
(dmk)
Dieser Link ist leider nicht mehr gültig.
Links zu verschenkten Artikeln werden ungültig,
wenn diese älter als 7 Tage sind oder zu oft aufgerufen wurden.
Sie benötigen ein heise+ Paket, um diesen Artikel zu lesen. Jetzt eine Woche unverbindlich testen – ohne Verpflichtung!