Εντοπίστηκε μια ευπάθεια ασφαλείας στο Notepad++, ένα από τα πιο ευρέως χρησιμοποιούμενα προγράμματα επεξεργασίας κειμένου ανοιχτού κώδικα μεταξύ προγραμματιστών και επαγγελματιών πληροφορικής.
Η ευπάθεια CVE-2026-3008, η οποία θα μπορούσε να επιτρέψει σε έναν απομακρυσμένο εισβολέα να καταρρεύσει την εφαρμογή ή να εξαγάγει ευαίσθητες πληροφορίες διεύθυνσης μνήμης από επηρεαζόμενα συστήματα.
Η ευπάθεια είναι ένα ελάττωμα εισαγωγής συμβολοσειράς που εντοπίζεται στη λειτουργικότητα FindInFiles του Notepad++. Συγκεκριμένα, το ζήτημα προκύπτει όταν η nativeLang.xml αρχείο ρυθμίσεων "find-result-hits" Το πεδίο περιέχει α "%s" προσδιοριστή μορφής, που προκαλεί απροσδόκητη συμπεριφορά κατά τη διάρκεια εργασιών αναζήτησης.
Αυτός ο τύπος ευπάθειας μπορεί να οδηγήσει σε ακατάλληλο χειρισμό της μνήμης, επιτρέποντας στους παράγοντες απειλής είτε να προκαλέσουν μια συνθήκη άρνησης υπηρεσίας (DoS) κλείνοντας την εφαρμογή είτε να συλλέξουν πληροφορίες διεύθυνσης μνήμης που θα μπορούσαν να αξιοποιηθούν σε περαιτέρω προσπάθειες εκμετάλλευσης.
Το δεύτερο, CVE-2026-6539, έχει επίσης συνδεθεί με την ίδια ενημερωμένη έκδοση κώδικα, υποδηλώνοντας ότι αντιμετωπίστηκαν πρόσθετες σχετικές ανησυχίες ασφαλείας παράλληλα με την κύρια ευπάθεια.
Η επιτυχής εκμετάλλευση θα μπορούσε να διαταράξει τις ροές εργασίας για προγραμματιστές, διαχειριστές συστήματος και αναλυτές ασφαλείας που βασίζονται στο Notepad++ για τις καθημερινές λειτουργίες.
Τα τρωτά σημεία αποκάλυψης μνήμης, ενώ μερικές φορές θεωρούνται μεμονωμένα χαμηλής σοβαρότητας, συχνά συνδέονται με άλλα exploits για να παρακάμψουν μετριασμούς ασφαλείας, όπως το Address Space Layout Randomization (ASLR).
Έκδοση που επηρεάζεται
Η ευπάθεια επηρεάζει συγκεκριμένα:
Οι χρήστες που εκτελούν παλαιότερες εκδόσεις θα πρέπει να υποθέσουν ότι διατρέχουν τον ίδιο κίνδυνο και να εφαρμόσουν τη διαθέσιμη ενημέρωση κώδικα χωρίς καθυστέρηση.
Το Patch κυκλοφόρησε
Ο ιδιοκτήτης προϊόντος του Notepad++, κ. Hazley Samsudin, ανταποκρίθηκε άμεσα με την κυκλοφορία της έκδοσης 8.9.4το οποίο απευθύνεται άμεσα τόσο στο CVE-2026-3008 όσο και στο CVE-2026-6539.
Η επιδιόρθωση επιλύει τη συμπεριφορά σφαλμάτων στη λειτουργία FindInFiles όταν οι συμβολοσειρές μορφοποίησης αναλύονται εσφαλμένα από το nativeLang.xml αρχείο. Οι λεπτομέρειες του patch τεκμηριώνονται δημόσια στον επίσημο Αποθετήριο Notepad++ GitHub υπό έκδοση #17960.
Μετριασμούς
Η CSA συμβουλεύει ανεπιφύλακτα όλοι οι χρήστες και οι διαχειριστές που εκτελούν την επηρεαζόμενη έκδοση για να προβούν άμεσα στις ακόλουθες ενέργειες:
- Ενημέρωση στην έκδοση 8.9.4 του Notepad++ μέσω του επίσημου ιστότοπου του Notepad++ ή του ενσωματωμένου μηχανισμού ενημέρωσης
- Επαληθεύστε την ακεραιότητα του ληφθέντος προγράμματος εγκατάστασης χρησιμοποιώντας επίσημα αθροίσματα ελέγχου
- Παρακολούθηση συστημάτων για οποιαδήποτε ασυνήθιστη συμπεριφορά εφαρμογής που μπορεί να υποδεικνύει προηγούμενες προσπάθειες εκμετάλλευσης
Δεδομένης της ευρείας ανάπτυξης του Notepad++ σε εταιρικά περιβάλλοντα και σταθμούς εργασίας προγραμματιστών, οι οργανισμοί θα πρέπει να δώσουν προτεραιότητα σε αυτήν την ενημέρωση εντός των τυπικών κύκλων διαχείρισης ενημερώσεων κώδικα.
Χρήστες που βασίζονται στο έθιμο nativeLang.xml Συνιστάται ιδιαίτερα στις διαμορφώσεις να εφαρμόσουν την επιδιόρθωση χωρίς καθυστέρηση.
VIA: cybersecuritynews.com
