// HEISE ONLINE — CYBERSECURITY
Notepad++ v8.9.8 stopft 14 Sicherheitslücken
Am Sonntag hat Don Ho Version 8.9.8 des beliebten Editors Notepad++ herausgegeben. Sie schließt etwa Codeschmuggellücken.
Eine frische Version von Notepad++ mit der Nummer v8.9.8 ist am gestrigen Sonntag erschienen. Der Programmierer Don Ho hat darin etwas mehr als ein Dutzend Schwachstellen ausgebessert. Nutzerinnen und Nutzer der Software sollten zügig das Update anwenden.
In der Release-Ankündigung fasst Ho die einzelnen Sicherheitslücken sehr knapp zusammen. Allen gemein ist, dass sie noch keinen CVE-Schwachstelleneintrag erhalten haben. Es fehlt zudem eine Einordnung des Risikos der Lücken nach CVSS.
Dennoch lässt sich bei einigen Lücken erahnen, dass Angreifer sie etwa zum Einschleusen von Schadcode missbrauchen können. Das ist beispielsweise bei einem „Time-of-Check Time-of-Use“-(TOCTOU)-Problem des Notepad++-Updaters WinGUp (Nummer 5 in der Liste) vermutlich denkbar. Die Umgehung des HMAC-Schutzes mit der Datei „shortcuts.xml“ über die Funktion „Makro mehrfach ausführen“ klingt ebenso, als ob dadurch unbefugt Code ausgeführt werden könnte (Nummer 8 der Liste).
Wahrscheinlich hat ein Problem mit der Zielumleitung im Ordner als Arbeitsbereich durch „Vom System ausführen“ als Auswirkung, dass bösartige Akteure damit ihre Rechte im System ausweiten können. Auch konnte ein Prozess mit niedrigem Integrity Level Windows-Nachrichten an den mit höherem Integrity Level laufenden Notepad++ senden, was die Prozess-Rechtetrennung von Windows aufweicht. Zudem ließ sich die User Interface Privilege Isolation (UIPI) mittels „WM_COPYDATA“ aushebeln.
Das Update steht unter anderem über WinGet bereit. Nach dem Start der Eingabeaufforderung, etwa nach Eingabe von „cmd“ im Startmenü, befördert der Befehl winget upgrade --all die aktualisierte Fassung und weitere Softwareupdates aufs System. Der in Notepad++ integrierte Updatemechanismus, der sich im Menü unter „?“ befindet und dort nach Klick auf „Notepad++ aktualisieren“ startet, sollte die Aktualisierung ebenfalls in Kürze herunterladen und installieren können.
Zuletzt hatte Don Ho in Notepad++ mit einem Update vom Ende Mai dieses Jahres drei Sicherheitslücken geschlossen. Zwei davon galten dort als hohes Risiko und ermöglichten Angreifern, Schadcode oder Befehle einzuschleusen und auszuführen.
Ob Sicherheitslücken, Viren oder Trojaner – alle sicherheitsrelevanten Meldungen gibts bei heise security
Ausführliche Informationen zum Versandverfahren und zu Ihren
Widerrufsmöglichkeiten erhalten Sie in unserer
Datenschutzerklärung.
Immer informiert bleiben: Klicken Sie auf das Plus-Symbol an einem Thema, um diesem zu folgen. Wir zeigen Ihnen alle neuen Inhalte zu Ihren Themen.
Mehr erfahren.