▲

Notepad++에서 임의 코드 실행이 가능한 취약점이 여러 개 발견됨

 (cybersecuritynews.com)
5P by kuroneko 2023-09-05 | favorite | 댓글 2개
  • GitLab의 보안 연구원인 Jaroslav Lobačevski는 Notepad++에서 사용하는 일부 기능과 라이브러리에서 오버플로 취약점을 발견함.
  • Notepad++는 아직 취약점에 대한 패치를 제공하지 않았지만, 공개 정책에 따라 취약점을 먼저 공개함.
  • 취약점은 다음과 같으며, CVE 기준 5.5(보통)에서 7.8(높음) 정도의 심각도를 보임.
    • CVE-2023-40031 : Utf8_16_Read의 힙 버퍼 쓰기 오버플로
    • CVE-2023-40036 : CharDistributionAnalytic의 전역 버퍼 읽기 오버플로
    • CVE-2023-40164 : nsCodingStateMachine의 전역 버퍼 읽기 오버플로
    • CVE-2023-40166 : FileManager의 힙 버퍼 읽기 오버플로
  • 취약점에 대한 개념 증명과 예제 코드가 포함된 상세한 보고서도 같이 공개했음.
▲
kuroneko 2023-09-05  [-]

임의 코드 실행이 반드시 가능한 건 아니고, 가능성이 있다는 정도 같습니다.
악용하기 어려울 것 같다는 의견이 있어 보여요.

아무튼 업데이트가 없는 게 이상하네요.

답변달기
▲
kuroneko 2023-09-05  [-]

AI 요약

  • amiga386: 버그가 발견되었지만 악용하기는 어려워 보인다고 언급했습니다. 개발자가 이 문제를 파악하고 수정하기를 희망합니다.
  • boxed: 공개 날짜를 기준으로 수정 사항이 실제로 구현되지 않았다고 지적합니다.
  • esrauch: 악성 파일을 여는 것만으로도 익스플로잇을 유발할 수 있기 때문에 이 문제가 생각보다 심각하다고 주장합니다.
  • layer8: 이메일 첨부 파일을 통해 익스플로잇이 전달될 수 있기 때문에 악성 파일을 여는 것만으로도 충분하다고 주장합니다.
  • inferiorhuman: Windows API가 기본적으로 UTF-8이 아닌 UTF-16을 사용한다는 컨텍스트를 제공합니다.
  • Fulgen: 메모장 ++가 자체 구현 대신 Windows API를 사용하여 UTF-16을 UTF-8로 변환할 수 있음을 제안합니다.
  • PrimeMcFly: 이러한 문제를 고려하여 자체 기본 텍스트 편집기를 우선적으로 작성하는 것을 고려합니다.
  • nijave: 메모장 ++가 Visual Studio Code와 같은 가벼운 편집기에 비해 뒤처진 것에 대해 실망감을 표명합니다.
  • baal80spam: 인지된 가벼움에 따라 텍스트 편집기의 순위를 매겨 Notepad2와 VS Code 사이에 Notepad++를 배치합니다.
  • currysausage: Notepad2, Notepad2-mod, Notepad3와 같은 Notepad++의 대체 경량 편집기에 대해 논의합니다.
답변달기