Eine frische Version von Notepad++ mit der Nummer v8.9.8 ist am gestrigen Sonntag erschienen. Der Programmierer Don Ho hat darin etwas mehr als ein Dutzend Schwachstellen ausgebessert. Nutzerinnen und Nutzer der Software sollten zügig das Update anwenden.
In der Release-Ankündigung fasst Ho die einzelnen Sicherheitslücken sehr knapp zusammen. Allen gemein ist, dass sie noch keinen CVE-Schwachstelleneintrag erhalten haben. Es fehlt zudem eine Einordnung des Risikos der Lücken nach CVSS.
Dennoch lässt sich bei einigen Lücken erahnen, dass Angreifer sie etwa zum Einschleusen von Schadcode missbrauchen können. Das ist beispielsweise bei einem „Time-of-Check Time-of-Use“-(TOCTOU)-Problem des Notepad++-Updaters WinGUp (Nummer 5 in der Liste) vermutlich denkbar. Die Umgehung des HMAC-Schutzes mit der Datei „shortcuts.xml“ über die Funktion „Makro mehrfach ausführen“ klingt ebenso, als ob dadurch unbefugt Code ausgeführt werden könnte (Nummer 8 der Liste).
Auch Rechteausweitungslücken enthalten
Wahrscheinlich hat ein Problem mit der Zielumleitung im Ordner als Arbeitsbereich durch „Vom System ausführen“ als Auswirkung, dass bösartige Akteure damit ihre Rechte im System ausweiten können. Auch konnte ein Prozess mit niedrigem Integrity Level Windows-Nachrichten an den mit höherem Integrity Level laufenden Notepad++ senden, was die Prozess-Rechtetrennung von Windows aufweicht. Zudem ließ sich die User Interface Privilege Isolation (UIPI) mittels „WM_COPYDATA“ aushebeln.
