Supply chain: Notepad++ rafforza la sicurezza dopo un grave incidente di dirottamento del traffico

Notepad++ è spesso preso di mira da malintenzionati perché il software è popolare e ampiamente utilizzato. Una vulnerabilità recentemente scoperta nell’editor di testo e codice open source Notepad++ potrebbe consentire agli aggressori di dirottare il traffico di rete, compromettere il processo di aggiornamento e installare malware sui computer interessati. Questa falla è stata ora corretta nella versione 8.8.9 di Notepad++.

Gli utenti che utilizzano versioni precedenti dovrebbero eseguire immediatamente una scansione approfondita con un software di sicurezza affidabile. I loro sistemi potrebbero essere già stati compromessi; nei casi più gravi, una reinstallazione completa del sistema potrebbe essere l’unica soluzione affidabile.

Secondo gli sviluppatori, l’utilità di aggiornamento di Notepad++, WinGUp, potrebbe, in determinate circostanze, essere reindirizzata a un server dannoso, con conseguente download di un eseguibile manomesso in grado di infettare il sistema.

Durante il processo di aggiornamento, WinGUp controlla il numero di versione e interroga l’endpoint https://notepad-plus-plus.org/update/getDownloadUrl[.]php. Questo endpoint genera un file XML che include l’URL per il download, che l’aggiornamento recupera ed esegue dalla directory %TEMP%. Qualsiasi avversario in grado di intercettare e modificare questo traffico potrebbe alterare l’URL di download, ad esempio sostituendolo con un collegamento a un payload dannoso.

A partire dalla versione 8.8.7, Notepad++ ha adottato un certificato digitale GlobalSign affidabile, eliminando la necessità per gli utenti di installare un certificato radice separato e rafforzando notevolmente la sicurezza dell’applicazione.

La versione 8.8.8 ha introdotto il requisito che WinGUp utilizzi GitHub.com come unica fonte di download, mentre la nuova versione 8.8.9 migliora ulteriormente la sicurezza convalidando correttamente la firma digitale e il certificato del file scaricato. Se la verifica fallisce, il processo di aggiornamento viene interrotto.

Gli sviluppatori non hanno ancora determinato con precisione come si sia verificato il dirottamento del traffico e sono in corso ulteriori indagini. Tuttavia, le prove esistenti suggeriscono che gli aggressori abbiano già sfruttato la vulnerabilità contro specifiche organizzazioni prese di mira.

Si consiglia vivamente agli utenti di aggiornare almeno alla versione 8.8.8, sebbene sia preferibile l’aggiornamento diretto alla versione 8.8.9. Poiché la versione 8.8.8 non è in grado di rilevare l’ultima versione, gli utenti dovrebbero scaricare manualmente la versione 8.8.9 dal sito web ufficiale.

Ti è piaciuto questo articolo? Ne stiamo discutendo nella nostra Community su LinkedIn, Facebook e Instagram. Seguici anche su Google News, per ricevere aggiornamenti quotidiani sulla sicurezza informatica o Scrivici se desideri segnalarci notizie, approfondimenti o contributi da pubblicare.

Redazione

La Redazione di Red Hot Cyber fornisce aggiornamenti quotidiani su bug, data breach e minacce globali. Ogni contenuto è validato dalla nostra community di esperti come Pietro Melillo, Massimiliano Brolli, Sandro Sana, Olivia Terragni e Stefano Gazzella. Grazie alla sinergia con i nostri Partner leader nel settore (tra cui Accenture, CrowdStrike, Trend Micro e Fortinet), trasformiamo la complessità tecnica in consapevolezza collettiva, garantendo un'informazione accurata basata sull'analisi di fonti primarie e su una rigorosa peer-review tecnica.