¡Concéntrese en la seguridad del código fuente y recopile la información más reciente en el país y en el extranjero!
Compilado por: Guardia de código
Notepad++ 8.5.7 lanzó un parche para corregir múltiples vulnerabilidades de desbordamiento de búfer de 0 días. Un atacante podría aprovechar una de las vulnerabilidades para engañar a un usuario para que abra un archivo especialmente creado y ejecute código.
Notepad++ es un popular editor de código fuente gratuito que admite múltiples lenguajes de programación, se puede ampliar mediante complementos y proporciona una variedad de funciones que mejoran la productividad, como la edición de varias pestañas y el resaltado de sintaxis. El investigador de GitHub, Jaroslav Lobačevski, ha informado de múltiples vulnerabilidades en Notepad++ 8.5.2 en los últimos meses.
El investigador publicó un código de verificación para estas vulnerabilidades en un aviso de seguridad pública, por lo que los usuarios deben actualizar el programa lo antes posible.
cuatro lagunas
La vulnerabilidad descubierta por los investigadores radica en vulnerabilidades de desbordamiento de lectura y escritura del búfer de almacenamiento dinámico en varias funciones y bibliotecas utilizadas por Notepad++. Las cuatro vulnerabilidades son las siguientes:
CVE-2023-40031: Una vulnerabilidad de desbordamiento del búfer en la función Utf8_16_Read::convert causada por suposiciones incorrectas sobre las sesiones de programación de UTF16 a UTF8.
CVE-2023-40036: Una vulnerabilidad de desbordamiento de lectura del búfer global en CharDistributionAnalysis::HandleOneChar causada por el orden del índice de la matriz según el tamaño del búfer, exacerbada por el uso de la biblioteca uchardet.
CVE-2023-40164: Una vulnerabilidad de desbordamiento de lectura del búfer global en nsCodingStateMachine::NextState, relacionada con una versión específica de la biblioteca uchardet utilizada por Notepad++, es vulnerable debido a la dependencia del tamaño del búfer charLenTable.
CVE-2023-40166: Vulnerabilidad de desbordamiento de lectura del búfer de montón en FileManager::detectLanguageFromTextBegining causada por una falla al verificar la longitud del búfer durante la detección del idioma del archivo.
El más grave de ellos es CVE-2023-40031, que tiene una puntuación CVSS v3 de 7,8 y puede tener consecuencias en la ejecución de código arbitrario. Sin embargo, un usuario mencionó que el tipo de mensaje de error podría permitir a un atacante aprovechar la vulnerabilidad para ejecutar código. Una confirmación de GitHub dice: "Si bien técnicamente es un 'desbordamiento de búfer', en realidad es casi un error y tiene pocas posibilidades de provocar la ejecución de código arbitrario".
Las tres vulnerabilidades restantes son de baja gravedad y pueden usarse para filtrar información de asignación de memoria interna.
Arreglar
Aunque el blog publicó un artículo y una prueba de concepto de exploit el 21 de agosto, el equipo de desarrollo de Notepad++ no se apresuró a responder. No fue hasta que la comunidad de usuarios ejerció presión que creó un problema público el 30 de agosto para confirmar la existencia de El problema y la solución se implementarán en la rama del código principal el 3 de septiembre.
Notepad++ 8.5.7 ya está disponible y los usuarios deben instalar la nueva versión para corregir estas cuatro vulnerabilidades y otros problemas mencionados en el registro de cambios.
Dirección de prueba de Code Guard: https://codesafe.qianxin.com
Dirección de prueba de guardia de código abierto: https://oss.qianxin.com
Lectura recomendada
Un grupo yihadista hackea el sitio Notepad++
Enlace original
https://www.bleepingcomputer.com/news/security/notepad-plus-plus-857-released-with-fixes-for-four-security-vulnerabilities/
Imagen del título: Licencia Pixabay
Este artículo fue compilado por Qi Anxin y no representa las opiniones de Qi Anxin. Indique "Reimpreso de Qianxin Code Guard https://codesafe.qianxin.com" al reimprimir.
Código Qi'anxin seguro (código seguro)
La primera línea de productos nacionales centrada en la seguridad del desarrollo de software.
Si crees que es bueno, simplemente haz clic en "Buscar" o "Me gusta" ~