Sicherheitsfixe in Notepad++ 8.9.8.1
Der Entwickler Don Ho hat eine neue Version von Notepad++ veröffentlicht, die die Version 8.9.8.1 umfasst. Diese Aktualisierung beinhaltet fünf Sicherheitsfixe, die lediglich mittel- oder niedriges Risiko haben. Nutzer sollten diese Aktualisierung bei Gelegenheit anwenden.
Liste der Sicherheitsfixe
- Fehler bei „Open File“- und „Search on Internet“-Befehlen: Diese Befehle konnten zu einem Absturz führen. Risiko: mittel.
- Fehler bei der Funktion-List-Konfiguration: Die obere Grenzprüfung des Index aus overrideMap.xml fehlt, was Notepad++ zu einem Pointer außerhalb eines Arrays zu lassen kann. Risiko: mittel.
- Fehler bei der Benutzerkontensteuerung: Der Helferprozess von Notepad++ hat nicht geprüft, wer ihn aufruft. Dadurch kann jedes Programm den UAC-Dialog aufrufen. Risiko: mittel.
- Fehler bei UNC-Pfad-Prüfungshelfer: Diese Fehler haben einige Pfade und Pfad-Schemen nicht korrekt erkannt, was das unbemerkte Ausleiten von NetNTLMv2-Challenge-Response-Hashes an SMB-Server ermöglicht. Risiko: mittel.
- Fehler bei NPPM-Nachrichten-Handler: Diese Fehler prüften übergebene Argumente unzureichend, sodass ungültige Werte zum Absturz führen konnten. Risiko: niedrig.
Weiterhin verbessert die aktuelle Version
Die aktuelle Version umfasst auch einige weitere Fehler, die sich auf den Absturz und die Probleme mit Symlinks beziehen. Diese Fehler wurden bisher nicht in der Version 8.9.8.1 aufgelistet.
Aktualisierung und Update
Zwar gelten die Sicherheitslücken allesamt lediglich als mittleres oder niedriges Risiko, trotzdem sollten Nutzerinnen und Nutzer auf die aktuelle Version umschwenken. Etwa der Aufruf von winget upgrade --all befördert auch das Notepad++-Update auf den Rechner. Ansonsten kann die Aktualisierung natürlich auch über den eingebauten Updater erfolgen, sofern Ho das Update freigibt. Das soll etwa eine Woche nach der Veröffentlichung geschehen, falls keine kritischen Fehler auftauchen.
Aktuelle Version
Der Updater der Version 8.9.8 zeigt noch an, dass die Software aktuell ist. Die Version 8.9.8 hat sogar 14 Sicherheitsfixe geschlossen. Dort waren neben CVE-Schwachstelleneinträgen auch eine Risikoeinschätzung gemäß CVSS-Standard gefehlt, teils wurden inzwischen CVE-Einträge nachgereicht.
Rabattaktionen
Gere o Angebot bietet eine 1-Jahres-Rabattaktion auf das heise+ Abonnement mit 50 % Rabatt. Dieses Angebot ist nur für den ersten Monat gültig und kostet danach 20 % Rabatt im Jahresabo. Exklusives Angebot: Lesen Sie heise+ ein Jahr lang mit 50 % Rabatt und sparen Sie danach dauerhaft 20 % im Jahresabo. Entdecken Sie alle Inhalte auf heise online und unsere Magazin-Inhalte.
Kommentare