Notepad++: Update schließt Rechteausweitungslücke und mehr

Wer den mächtigen Texteditor Notepad++ einsetzt, sollte auf die aktualisierte Fassung 8.9.9 updaten. Die schließt gleich sechs Sicherheitslücken, von denen sich einige wohl zur Ausweitung der Rechte im System eignen. Daneben beschleunigt die Version die Suche in Dateien und aktualisiert etwa die Editor-Komponente Scintilla auf Version 5.6.9.

In der Versionsankündigung zu Notepad++ v8.9.9 listet der Programmierer Don Ho sechs Schwachstellen auf. CVE-Schwachstelleneinträge haben sie noch nicht erhalten, auf GitHub gibt es jedoch sogar Details zu den einzelnen Problemen. Dort finden sich auch Einschätzungen zum Schweregrad.

Notepad++ mit hochriskanter Sicherheitslücke

Am gravierendsten ist demnach ein Heap-basierter Pufferüberlauf im SAML-Decoder des „mimeTools“-Plugins für Notepad++. Sorgsam präparierte Base64-kodierte oder DEFLATE-komprimierte SAML-Nachrichten nutzen aus, dass das Plugin beim Dekomprimieren und beim Kopieren von Rohtext die Puffergrenzen nicht prüft. So lassen sich Daten über die Grenzen des Heap-Puffers hinausschreiben. Dadurch sollen Angreifer potenziell auch Schadcode einschleusen und ausführen können, wenn Opfer die bösartigen Nachrichten mit dem mimeTools-Plugin dekodieren. Das Advisory stuft das Risiko als „hoch“ ein, nennt jedoch weder CVSS-Vektor noch -Wert, der die Einschätzung erläutern würde.

Die weiteren Schwachstellen, die das Update ausbessert, lauten dem Schweregrad nach geordnet:

• UAC save broker TOCTOU allows local content substitution in protected files (CVSS 6.6, Risiko „mittel“)
• Heap disclosure via unchecked clipboard length in Paste Binary (CVSS 5.6, Risiko „mittel“)
• Notepad++ UIPI Bypass via WM_COPYDATA Allows Low-Integrity Processes to Force Arbitrary File Open (CVSS 5.3, Risiko „mittel“)
• Out-of-bounds array index via NPPM_MENUCOMMAND reaches ShellExecute (CVSS 5.3, Risiko „mittel“)
• WM_COPYDATA sender authentication bypass enables conditional High-integrity execution via NppExec (kein CVSS-Wert, Risiko „mittel“)

Im Advisory zur schwerwiegendsten Lücke heißt es zudem, die Auswirkungen seien wegen möglicher Remote Code Execution (RCE) und Denial of Service (DoS) sogar kritisch. Die letzte gelistete Schwachstelle ist im Advisory als moderates Risiko eingestuft. Allerdings nennt es im Abschnitt „Suggested severity“ einen Angriffsvektor, der einen Schweregrad nach CVSS 3.1 von 7.0 ergibt, was dem Risiko „hoch“ entspricht.

Wer Notepad++ einsetzt, sollte daher zügig die Aktualisierung installieren. Die Software hat eine interne Update-Prüfung, die sich dazu starten lässt. Findet sie die Aktualisierung noch nicht, hilft „winget“. Der Aufruf von winget update Notepad++.Notepad++ findet das Update bereits und installiert es auch gleich.

Ende September hat Don Ho zuletzt Notepad++ auf Version 8.9.8.1 aktualisiert. Auch da hat er fünf Sicherheitslücken geschlossen, die jedoch lediglich ein mittleres oder niedriges Risiko bedeuteten.