Eine frische Version von Notepad++ mit der Nummer v8.9.8 ist am gestrigen Sonntag erschienen. Der Programmierer Don Ho hat darin etwas mehr als ein Dutzend Schwachstellen ausgebessert. Nutzerinnen und Nutzer der Software sollten z\u00fcgig das Update anwenden.<\/p>\n
Weiterlesen nach der Anzeige<\/p>\n
In der Release-Ank\u00fcndigung fasst Ho<\/a> die einzelnen Sicherheitsl\u00fccken sehr knapp zusammen. Allen gemein ist, dass sie noch keinen CVE-Schwachstelleneintrag erhalten haben. Es fehlt zudem eine Einordnung des Risikos der L\u00fccken nach CVSS.<\/p>\n Dennoch l\u00e4sst sich bei einigen L\u00fccken erahnen, dass Angreifer sie etwa zum Einschleusen von Schadcode missbrauchen k\u00f6nnen. Das ist beispielsweise bei einem \u201eTime-of-Check Time-of-Use\u201c-(TOCTOU)-Problem des Notepad++-Updaters WinGUp (Nummer 5 in der Liste) vermutlich denkbar. Die Umgehung des HMAC-Schutzes mit der Datei \u201eshortcuts.xml\u201c \u00fcber die Funktion \u201eMakro mehrfach ausf\u00fchren\u201c klingt ebenso, als ob dadurch unbefugt Code ausgef\u00fchrt werden k\u00f6nnte (Nummer 8 der Liste).<\/p>\n Auch Rechteausweitungsl\u00fccken enthalten<\/p>\n Wahrscheinlich hat ein Problem mit der Zielumleitung im Ordner als Arbeitsbereich durch \u201eVom System ausf\u00fchren\u201c als Auswirkung, dass b\u00f6sartige Akteure damit ihre Rechte im System ausweiten k\u00f6nnen. Auch konnte ein Prozess mit niedrigem Integrity Level Windows-Nachrichten an den mit h\u00f6herem Integrity Level laufenden Notepad++ senden, was die Prozess-Rechtetrennung von Windows aufweicht. Zudem lie\u00df sich die User Interface Privilege Isolation (UIPI) mittels \u201eWM_COPYDATA\u201c aushebeln.<\/p>\n Das Update steht unter anderem \u00fcber WinGet bereit. Nach dem Start der Eingabeaufforderung, etwa nach Eingabe von \u201ecmd\u201c im Startmen\u00fc, bef\u00f6rdert der Befehl winget upgrade –all die aktualisierte Fassung und weitere Softwareupdates aufs System. Der in Notepad++ integrierte Updatemechanismus, der sich im Men\u00fc unter \u201e?\u201c befindet und dort nach Klick auf \u201eNotepad++ aktualisieren\u201c startet, sollte die Aktualisierung ebenfalls in K\u00fcrze herunterladen und installieren k\u00f6nnen.<\/p>\n Zuletzt hatte Don Ho in Notepad++ mit einem Update vom Ende Mai dieses Jahres drei Sicherheitsl\u00fccken geschlossen<\/a>. Zwei davon galten dort als hohes Risiko und erm\u00f6glichten Angreifern, Schadcode oder Befehle einzuschleusen und auszuf\u00fchren.<\/p>\n Weiterlesen nach der Anzeige<\/p>\n