Descobertas várias vulnerabilidades no Notepad++ que permitem execução arbitrária de código

• Jaroslav Lobačevski, pesquisador de segurança do GitLab, descobriu vulnerabilidades de overflow em alguns recursos e bibliotecas usados pelo Notepad++.
• O Notepad++ ainda não disponibilizou correções para as vulnerabilidades, mas elas foram divulgadas primeiro de acordo com a política de divulgação.
• As vulnerabilidades são as seguintes e apresentam gravidade entre 5,5 (média) e 7,8 (alta) segundo o CVE.
  • CVE-2023-40031 : overflow de escrita em buffer de heap em Utf8_16_Read
  • CVE-2023-40036 : overflow de leitura em buffer global em CharDistributionAnalytic
  • CVE-2023-40164 : overflow de leitura em buffer global em nsCodingStateMachine
  • CVE-2023-40166 : overflow de leitura em buffer de heap em FileManager
• Também foi divulgado um relatório detalhado com prova de conceito e código de exemplo das vulnerabilidades.

[kuroneko]

• Thread no HN

Não parece que a execução arbitrária de código seja garantida, mas sim que exista essa possibilidade.
Parece haver opiniões de que seria difícil explorar isso.

De qualquer forma, é estranho não haver atualização.

[kuroneko]

Resumo por IA

• amiga386: mencionou que uma falha foi encontrada, mas que parece difícil explorá-la. Espera que o desenvolvedor identifique e corrija esse problema.
• boxed: aponta que, com base na data de divulgação, a correção na verdade não foi implementada.
• esrauch: afirma que esse problema é mais grave do que parece, porque apenas abrir um arquivo malicioso já pode acionar um exploit.
• layer8: argumenta que apenas abrir um arquivo malicioso já basta, porque o exploit pode ser entregue por meio de um anexo de e-mail.
• inferiorhuman: fornece o contexto de que a API do Windows usa UTF-16 por padrão, e não UTF-8.
• Fulgen: sugere que o Notepad++ poderia usar a API do Windows para converter UTF-16 em UTF-8, em vez de uma implementação própria.
• PrimeMcFly: considera priorizar a criação do seu próprio editor de texto básico levando esses problemas em conta.
• nijave: expressa decepção com o fato de o Notepad++ ter ficado para trás em relação a editores leves como o Visual Studio Code.
• baal80spam: classifica editores de texto por leveza percebida, colocando o Notepad++ entre o Notepad2 e o VS Code.
• currysausage: discute alternativas leves ao Notepad++, como Notepad2, Notepad2-mod e Notepad3.