Вышел Notepad++ v8.5.7 с патчами против четырёх уязвимостей (CVE-2023-40031, CVE-2023-40036, CVE-2023-40164 и CVE-2023-40166), одна из которых позволяла злоумышленникам удалённо запускать произвольный код на ПК при открытии специально созданного файла.
Наиболее серьёзной из этих уязвимостей является CVE-2023-40031, которой присвоен рейтинг CVSS v3 на уровне 7,8 (высокий), что потенциально предполагает выполнение произвольного кода на атакуемой системе. Уязвимость CVE-2023-40031 - это возникновение переполнения буфера в функции Utf8_16_Read::convert из-за неверных предположений о преобразованиях кодировки UTF16 в UTF8.
Список изменений и обновлений в Notepad++ v8.5.7. Помимо устранения уязвимостей разработчики исправили некоторые ранее известные ошибки и добавили новые опции, включая изменённый слоган в установщике и предупреждение при открытии файле размером 2 ГБ и более для x64.
Notepad++ — популярный бесплатный редактор исходного кода, который поддерживает множество языков программирования, может быть расширен с помощью плагинов, предоставляет возможность редактирования кода в нескольких вкладках и имеет подсветку синтаксиса.
В августе 2023 года исследователь безопасности GitHub Ярослав Лобачевски сообщил разработчикам и сообществу в открытой публикации о найденных им уязвимостях в последних версиях Notepad++. Причём разработчики проекта не закрыли ранее найденные Лобачевски в Notepad++ уязвимости в версиях v8.5.5 и v8.5.6, вышедших в августе этого года. Большая часть проблем касалась проблем переполнения буфера записи и чтения в различных опциях и библиотеках, используемых Notepad++.
Ранее Лобачевски высылал разработчикам Notepad++ рабочие эксплойты по найденным уязвимостям, чтобы они оперативно выпустили необходимые патчи. Но в итоге этого сделано не было. В итоге Лобачевски решил обратить внимание сообщества на эту проблему безопасности в Notepad++.
Источник новости: habr.com
