Notepad++ में मनमाना कोड चलाने की अनुमति देने वाली कई कमजोरियां मिलीं

 (cybersecuritynews.com)
5 पॉइंट द्वारा kuroneko 2023-09-05 | 2 टिप्पणियां | WhatsApp पर शेयर करें
  • GitLab के सुरक्षा शोधकर्ता Jaroslav Lobačevski ने Notepad++ में उपयोग होने वाली कुछ सुविधाओं और लाइब्रेरीज़ में overflow कमजोरियां खोजीं।
  • Notepad++ ने अभी तक इन कमजोरियों के लिए patch जारी नहीं किया है, लेकिन disclosure policy के अनुसार पहले इन्हें सार्वजनिक किया गया।
  • कमजोरियां इस प्रकार हैं, और CVE के आधार पर इनकी गंभीरता 5.5 (मध्यम) से 7.8 (उच्च) तक है।
    • CVE-2023-40031 : Utf8_16_Read में heap buffer write overflow
    • CVE-2023-40036 : CharDistributionAnalytic में global buffer read overflow
    • CVE-2023-40164 : nsCodingStateMachine में global buffer read overflow
    • CVE-2023-40166 : FileManager में heap buffer read overflow
  • कमजोरियों के proof of concept और example code सहित एक विस्तृत रिपोर्ट भी साथ में जारी की गई।

संबंधित पढ़ाई

2 टिप्पणियां

 
kuroneko 2023-09-05

ऐसा नहीं लगता कि arbitrary code execution निश्चित रूप से संभव है, बल्कि बस इसकी संभावना है।
ऐसा भी लगता है कि इसे exploit करना मुश्किल होगा।

फिर भी, अपडेट न होना अजीब है।
 
kuroneko 2023-09-05

AI सारांश

  • amiga386: उल्लेख किया कि बग पाया गया है, लेकिन इसका दुरुपयोग करना मुश्किल लगता है। उम्मीद है कि डेवलपर इस समस्या को समझकर इसे ठीक करेंगे।
  • boxed: इशारा करते हैं कि सार्वजनिक तिथि के आधार पर सुधार वास्तव में लागू नहीं किया गया था।
  • esrauch: तर्क देते हैं कि सिर्फ़ किसी दुर्भावनापूर्ण फ़ाइल को खोलने भर से exploit ट्रिगर हो सकता है, इसलिए यह समस्या जितनी दिखती है उससे अधिक गंभीर है।
  • layer8: तर्क देते हैं कि exploit ईमेल attachment के ज़रिए पहुँचाया जा सकता है, इसलिए सिर्फ़ दुर्भावनापूर्ण फ़ाइल खोलना ही काफ़ी है।
  • inferiorhuman: यह संदर्भ देते हैं कि Windows API डिफ़ॉल्ट रूप से UTF-8 नहीं बल्कि UTF-16 का उपयोग करता है।
  • Fulgen: सुझाव देते हैं कि Notepad++ अपनी खुद की implementation के बजाय Windows API का उपयोग करके UTF-16 को UTF-8 में convert कर सकता है।
  • PrimeMcFly: ऐसे मुद्दों को देखते हुए अपनी खुद की बुनियादी text editor को प्राथमिकता से लिखने पर विचार करते हैं।
  • nijave: इस बात पर निराशा व्यक्त करते हैं कि Notepad++ Visual Studio Code जैसे हल्के editor की तुलना में पीछे रह गया है।
  • baal80spam: महसूस होने वाली हल्केपन के आधार पर text editors की ranking करते हुए Notepad2 और VS Code के बीच Notepad++ को रखते हैं।
  • currysausage: Notepad2, Notepad2-mod और Notepad3 जैसे Notepad++ के वैकल्पिक lightweight editors पर चर्चा करते हैं.