Descubren múltiples vulnerabilidades en Notepad++ que permiten ejecución arbitraria de código

 (cybersecuritynews.com)
5 puntos por kuroneko 2023-09-05 | 2 comentarios | Compartir por WhatsApp
  • Jaroslav Lobačevski, investigador de seguridad de GitLab, descubrió vulnerabilidades de desbordamiento en algunas funciones y bibliotecas usadas por Notepad++.
  • Notepad++ todavía no ha publicado parches para estas vulnerabilidades, pero fueron divulgadas primero de acuerdo con la política de divulgación.
  • Las vulnerabilidades son las siguientes y presentan una severidad aproximada de 5.5 (media) a 7.8 (alta) según CVE.
    • CVE-2023-40031 : desbordamiento de escritura de búfer en heap en Utf8_16_Read
    • CVE-2023-40036 : desbordamiento de lectura de búfer global en CharDistributionAnalytic
    • CVE-2023-40164 : desbordamiento de lectura de búfer global en nsCodingStateMachine
    • CVE-2023-40166 : desbordamiento de lectura de búfer en heap en FileManager
  • También se publicó un informe detallado con prueba de concepto y código de ejemplo para estas vulnerabilidades.

Lecturas relacionadas

2 comentarios

 
kuroneko 2023-09-05

No parece que la ejecución arbitraria de código esté garantizada; más bien, parece que existe la posibilidad.
Parece haber opiniones de que sería difícil de explotar.

De todos modos, es raro que no haya una actualización.
 
kuroneko 2023-09-05

Resumen de IA

  • amiga386: mencionó que se encontró un error, pero que parece difícil de explotar. Espera que el desarrollador identifique y corrija este problema.
  • boxed: señala que, según la fecha de divulgación, la corrección en realidad no se implementó.
  • esrauch: sostiene que este problema es más grave de lo que parece, ya que basta con abrir un archivo malicioso para desencadenar el exploit.
  • layer8: afirma que solo abrir un archivo malicioso es suficiente, porque el exploit puede entregarse mediante un archivo adjunto de correo electrónico.
  • inferiorhuman: aporta el contexto de que la API de Windows usa UTF-16 de forma predeterminada, no UTF-8.
  • Fulgen: sugiere que Notepad++ podría usar la API de Windows para convertir UTF-16 a UTF-8 en lugar de una implementación propia.
  • PrimeMcFly: considera escribir primero su propio editor de texto básico teniendo en cuenta este tipo de problemas.
  • nijave: expresa su decepción porque Notepad++ se haya quedado atrás frente a editores ligeros como Visual Studio Code.
  • baal80spam: clasifica los editores de texto según su ligereza percibida y coloca a Notepad++ entre Notepad2 y VS Code.
  • currysausage: habla sobre editores ligeros alternativos a Notepad++, como Notepad2, Notepad2-mod y Notepad3.