Kritische Sicherheitslücke im Notepad

Der bekannte Sicherheitsforscher Tavis Ormandy ist auf eine kritische Lücke in MicrosoftsStandard-Texteditor Notepad gestossen. Demnach ist über den bislang nicht behobenen Fehler ein Shell-Zugriff von aussen auf das betroffene System möglich.

Am I the first person to pop a shell in notepad? ???? ....believe it or not, It's a real bug! ???? pic.twitter.com/t2wTh7E93p

— Tavis Ormandy (@taviso) 28. Mai 2019

Wie Ormandy über Twitter schreibt, handelt es sich bei dem Bug um einen Speicherfehler. Diesen konnte der Experte dazu nutzen, um Remotecode in einer Shell-Instanz auszuführen. In der Praxis wären Angreifer dadurch in der Lage, ein System komplett zu übernehmen. Weitere Informationen zu dem Fehler sind bislang nicht verfügbar. Ormandy hat Microsoft über den Zero-Day-Bug informiert. In drei Monaten will der Experte detaillierte Angaben zu der Lücke veröffentlichen, falls die Redmonder das Problem bis dahin nicht angegangen sind.
Da Notepad als Standard-Texteditor in Windows vorinstalliert ist, betreffen Fehler in der Software sämtliche Windows-Nutzer. Entsprechend heikel ist eine schwere Sicherheitslücke in dem Programm anzusehen.
Tavis Ormandy von Googles Project Zero hat sich unterdessen einen Namen mit der Veröffentlichung von teils schwerwiegenden Fehlern in Windows, Java, dem Adobe Flashplayer und zahlreichen Antivirus-Produkten gemacht. Unter anderem ist der Sicherheitsforscher auf Bugs in Lösungen von Avast, Comodo, Trend Micro und AVG gestossen.