Rünnak Notepad++ projekti vastu, mis viis uuenduste valikuliseni asendamiseni

Notepad++ arendajate, avatud koodiga redigeerimise tööriista Windowsi platvormil, avaldas juhtumi analüüsi, mille käigus kompromiteeriti teenusepakkuja võrguinfrastruktuur ja osa Notepad++ kasutajatest said muudetud täitmisfailid, mis laaditi alla WinGUp automaatse uuendusdeliverimise süsteemi abil.

Rünnak viidi läbi sihitud liikluse ümber suunamise kaudu kasutaja ja uuenduste allalaadimise serveri vahel. Asendamine oli võimalik tänu haavatavusele allalaadimise uuenduse valideerimise ja autentimise mehhanismis. Ründaja, kes sai sekkuda ülekande liiklusesse, võis asendada uuenduse manifesti ning algatada vale uuenduse ja sellega seotud metaandmete allalaadimise päringu.

Lisaanalüüs näitas, et rünnak viidi ellu infrastruktuuri tasemel hostimise teenusepakkuja, mis võimaldas kurjategijatel pealt kuulata ja ümber suunata liiklust, mis oli adresseeritud domeenile notepad-plus-plus.org. Ümber suunamine toimus sihitud ainult teatud kasutajatele, kellele anti muudetud manifest uuenduste teabega. Esimesed tõendid ründajate tegevusest dateeruvad juuni 2025. aastasse, viimasena 10. novembril, kuid rünnaku võimalus püsis kuni 2. detsembrini.

Teabe põhjal, mille pakkus teenusepakkuja, sai rünnak võimalikuks, kuna saidi notepad-plus-plus.org hostimise server oli häkitud. 2. septembril pärast tarkvara uuendamist suleti auk, kuid kurjategijad olid enne seda saanud sisselogimise andmed ühe sise teenuse juurde, mis võimaldas neil kuni 2. detsembrini suunata päringud skripti "https://notepad-plus-plus.org/getDownloadUrl.php" serverid. 2. detsembril täienduste asendamine märgati ja Teenusepakkuja blokeeris ründajate juurdepääsu. Pärast juhtumit viidi Notepad++ veebisait üle teisele hostinguteenuse pakkujale, kes hoolib rohkem turvalisusest.

Notepad++ versioonis 8.8.9 on Notepad++ ja WinGUp-i koosseisu lisatud kohustuslikud kontrollid mitte ainult digiallkirjade, vaid ka allalaaditavate failide sertifikaatide suhtes, samuti on rakendatud värskenduste rakendamise blokeerimine määratud kontrollide ebaõnnestumise korral. Oodatavas 8.9.2 väljalaskes, mis toimub järgmise kuu jooksul, lisatakse täiendav kontroll XML-maniifesti (XMLDSig) digiallkirja suhtes, mille toob välja värskenduste edastamise server.

Allikas: opennet.ru