製品・ソフトウェアに関する情報

JVN脆弱性詳細

Notepad++ の GUP 標準アップデートプロセスにおける任意のコードを実行される脆弱性

Title	Notepad++ の GUP 標準アップデートプロセスにおける任意のコードを実行される脆弱性
Summary	Notepad++ の GUP 標準アップデートプロセスは、アップデートの信頼性を適切に検証しないため、任意のコードを実行される脆弱性が存在します。
Possible impacts	攻撃者により、トロイの木馬のアップデートを介して、任意のコードを実行される可能性があります。
Solution	ベンダ情報および参考情報を参照して適切な対策を実施してください。
Publication Date	Aug. 1, 2008, midnight
Registration Date	Sept. 25, 2012, 5:17 p.m.
Last Update	Sept. 25, 2012, 5:17 p.m.

CVSS2.0 : 危険
Score	7.5
Vector	AV:N/AC:L/Au:N/C:P/I:P/A:P

Affected System

Don Ho

NotePad++ 4.8.1 未満

CVE (情報セキュリティ共通脆弱性識別子)

No	Name	URL
Common Vulnerabilities and Exposures (CVE)
1	CVE-2008-3436	http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2008-3436
National Vulnerability Database (NVD)
2	CVE-2008-3436	http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2008-3436

CWE (共通脆弱性タイプ一覧)

No	Name	URL
JVNDB
1	CWE-94	https://jvndb.jvn.jp/ja/cwe/CWE-94.html

ベンダー情報

No	Name	URL
Don Ho
1	Top page	http://notepad-plus-plus.org/

Change Log

No	Changed Details	Date of change
0	[2012年09月25日] 掲載	Feb. 17, 2018, 10:37 a.m.

NVD Vulnerability Information

CVE-2008-3436

Summary	The GUP generic update process in Notepad++ before 4.8.1 does not properly verify the authenticity of updates, which allows man-in-the-middle attackers to execute arbitrary code via a Trojan horse update, as demonstrated by evilgrade and DNS cache poisoning.
Publication Date	Aug. 1, 2008, 11:41 p.m.
Registration Date	Jan. 29, 2021, 1:40 p.m.
Last Update	Sept. 6, 2008, 6:43 a.m.

Affected software configurations

Configuration1	or higher	or less	more than	less than
cpe:2.3:a:notepad\+\+:notepad\+\+::::::::		1.0
cpe:2.3:a:notepad\+\+:notepad\+\+::::::::		1.1
cpe:2.3:a:notepad\+\+:notepad\+\+::::::::		1.2
cpe:2.3:a:notepad\+\+:notepad\+\+::::::::		1.3
cpe:2.3:a:notepad\+\+:notepad\+\+::::::::		1.4
cpe:2.3:a:notepad\+\+:notepad\+\+::::::::		1.5
cpe:2.3:a:notepad\+\+:notepad\+\+::::::::		1.6
cpe:2.3:a:notepad\+\+:notepad\+\+::::::::		1.7
cpe:2.3:a:notepad\+\+:notepad\+\+::::::::		1.8
cpe:2.3:a:notepad\+\+:notepad\+\+::::::::		1.9
cpe:2.3:a:notepad\+\+:notepad\+\+::::::::		2.1
cpe:2.3:a:notepad\+\+:notepad\+\+::::::::		2.2
cpe:2.3:a:notepad\+\+:notepad\+\+::::::::		2.3
cpe:2.3:a:notepad\+\+:notepad\+\+::::::::		2.4
cpe:2.3:a:notepad\+\+:notepad\+\+::::::::		2.5
cpe:2.3:a:notepad\+\+:notepad\+\+::::::::		2.6
cpe:2.3:a:notepad\+\+:notepad\+\+::::::::		2.8
cpe:2.3:a:notepad\+\+:notepad\+\+::::::::		2.9
cpe:2.3:a:notepad\+\+:notepad\+\+::::::::		3.0
cpe:2.3:a:notepad\+\+:notepad\+\+::::::::		3.1
cpe:2.3:a:notepad\+\+:notepad\+\+::::::::		3.2
cpe:2.3:a:notepad\+\+:notepad\+\+::::::::		3.3
cpe:2.3:a:notepad\+\+:notepad\+\+::::::::		3.4
cpe:2.3:a:notepad\+\+:notepad\+\+::::::::		3.5
cpe:2.3:a:notepad\+\+:notepad\+\+::::::::		3.6
cpe:2.3:a:notepad\+\+:notepad\+\+::::::::		3.7
cpe:2.3:a:notepad\+\+:notepad\+\+::::::::		3.8
cpe:2.3:a:notepad\+\+:notepad\+\+::::::::		3.9
cpe:2.3:a:notepad\+\+:notepad\+\+::::::::		4.0
cpe:2.3:a:notepad\+\+:notepad\+\+::::::::		4.0.2
cpe:2.3:a:notepad\+\+:notepad\+\+::::::::		4.1
cpe:2.3:a:notepad\+\+:notepad\+\+::::::::		4.1.1
cpe:2.3:a:notepad\+\+:notepad\+\+::::::::		4.1.2
cpe:2.3:a:notepad\+\+:notepad\+\+::::::::		4.2.1
cpe:2.3:a:notepad\+\+:notepad\+\+::::::::		4.2.2
cpe:2.3:a:notepad\+\+:notepad\+\+::::::::		4.3
cpe:2.3:a:notepad\+\+:notepad\+\+::::::::		4.4
cpe:2.3:a:notepad\+\+:notepad\+\+::::::::		4.5
cpe:2.3:a:notepad\+\+:notepad\+\+::::::::		4.6
cpe:2.3:a:notepad\+\+:notepad\+\+::::::::		4.7
cpe:2.3:a:notepad\+\+:notepad\+\+::::::::		4.7.2

Related information, measures and tools

No	URL	refsource
1	http://archives.neohapsis.com/archives/bugtraq/2008-07/0250.html	FULLDISC
2	http://www.infobyte.com.ar/down/Francisco%20Amato%20-%20evilgrade%20-%20ENG.pdf	MISC
3	http://www.infobyte.com.ar/down/isr-evilgrade-1.0.0.tar.gz	MISC

Common Vulnerabilities List

No	CWE	Name	URL
1	CWE-94	コード・インジェクション	https://cwe.mitre.org/data/definitions/94.html