Notepad++’in 8.5.7 sürümü, birden fazla tampon taşma sıfır gün hatasını düzelten bir sürüm olarak yayınlandı. Bu hatalardan biri, kullanıcıları özel olarak hazırlanmış dosyaları açmaya kandırarak kod yürütme olasılığına işaret ederek potansiyel olarak ciddi güvenlik sorunlarına yol açabilirdi.
Notepad++, birçok programlama dilini destekleyen popüler bir ücretsiz kaynak kodu düzenleyicisidir. Eklentiler aracılığıyla genişletilebilir ve çoklu sekme düzenleme ile sözdizimi vurgulama gibi üretkenlik artırıcı özellikler sunar.
GitHub’ın güvenlik araştırmacısı Jaroslav Lobačevski, bu güvenlik açıklarını son birkaç ay içinde Notepad++’ın 8.5.2 sürümünün geliştiricilerine bildirdi.
Araştırmacının kamu duyurusunda bu hatalar için işlenmiş olgu kanıtı da yayınlandı, bu nedenle kullanıcıların programlarını en kısa sürede güncellemeleri önemlidir.
Notepad++’taki Güvenlik Açıkları
Keşfedilen güvenlik açıkları, Notepad++ tarafından kullanılan çeşitli işlevler ve kütüphanelerdeki heap tampon yazma ve okuma taşmalarını içerir.
GitHub’ın araştırmacısının keşfettiği dört hata özetlemesi şu şekildedir:
CVE-2023-40031: UTF16’ten UTF8 kodlamasına yanlış varsayımlar nedeniyle Utf8_16_Read::convert işlevinde tampon taşması.
CVE-2023-40036: Uchardet kütüphanesinin kullanımıyla kötüleştirilen, CharDistributionAnalysis::HandleOneChar işlemindeki global tampon okuma taşması, tampon boyutuna dayalı bir dizi dizin sırasına dayalı olarak oluştu.
CVE-2023-40164: Uchardet++ tarafından kullanılan belirli bir sürüme bağlı olan nsCodingStateMachine::NextState’deki global tampon okuma taşması, charLenTable tamponunun boyutuna bağımlılığı nedeniyle savunmasızdır.
CVE-2023-40166: Dosya dil tespiti sırasında FileManager::detectLanguageFromTextBegining işlemindeki heap tampon okuma taşması, dosya dil tespiti sırasında tampon uzunluklarını kontrol etmeyi unuttuğu için meydana gelir.
Bu hataların en ciddi olanı CVE-2023-40031’dir ve CVSS v3 puanı 7.8 (yüksek) olarak atanmıştır, bu da keyfi kod yürütme olasılığına işaret etmektedir.
Ancak, bir kullanıcı bu hatayı kullanarak kod yürütmenin mümkün olmadığını iddia ediyor, çünkü bu tür bir hatanın olduğu türden bir hata olduğunu belirtiyor.
Lobačevski’nin blogu ve olgu kanıtı yayınlandığında (21 Ağustos 2023), Notepad++ geliştirme ekibi soruna yanıt vermek için kullanıcı topluluğunun baskısına yanıt verene kadar beklemişti.
Sonunda, 30 Ağustos 2023 tarihinde sorunu kabul etmek için bir kamu sorunu oluşturuldu ve dört hatanın düzeltileri, 3 Eylül 2023 tarihinde ana kod dalına dahil edildi.
Notepad++ 8.5.7 şimdi yayınlandı ve dört güvenlik açığını ve değişiklik günlüğünde listelenen diğer hataları düzeltmek için kurulmalıdır.
kaynak: BleepingComputer