Notepad++ 8.5.7 behebt schwere sicherheitsrelevante Fehler

    Ich "installiere" nur von Hand, sorry, kann dir zum Updater gar nicht helfen. Aber auch hier sagt die Prüfung - aktuell wäre 8.5.6. Da NPP hier speziell angepasst ist, kann ich die Updates eh so nicht nutzen.

    Wenn du weinen möchtest, bist du falsch hier. Hier gibt es nur Lösungen!
    Oh Herr, wirf Hirn, oder Steine - Hauptsache, du triffst endlich.
    Zu viele Goofies und Dulleks vom Dienst. Schlabokka!

    Hier mal die Meldung von Heise zur Sicherheitslücke vor 10 Tagen:

    Entwickler von Notepad++ ignoriert offensichtlich Sicherheitslücken
    Mehrere Sicherheitslücken gefährden den Texteditor Notepad++. Trotz Informationen zu den Lücken und möglichen Fixes steht ein Sicherheitsupdate noch aus.
    www.heise.de

    Man streitet sich noch, ob der Entwickler bisher nur einfach ignorant war und die Sicherheitslücke wirklich so gefährlich ist, oder ob es sich bei dem Programmfehler doch eher um eine theoretische Lücke gehandelt hat (Öffnen einer präparierten Datei und manuelles Anstoßen der Konvertierung von UTF16 nach UTF8).

    Egal, ist ja jetzt wohl gefixt. :)

    Man hat Monate drauf hingewiesen, und da nichts passiert ist, hat man es öffentlich gemacht.

    Update ist gemacht.

    Wenn du weinen möchtest, bist du falsch hier. Hier gibt es nur Lösungen!
    Oh Herr, wirf Hirn, oder Steine - Hauptsache, du triffst endlich.
    Zu viele Goofies und Dulleks vom Dienst. Schlabokka!

    Zitat von .DeJaVu

    Man hat Monate drauf hingewiesen, und da nichts passiert ist, hat man es öffentlich gemacht.

    Zum selbst Nachlesen:

    Zitat von BrokenHeart

    Man streitet sich noch, ob der Entwickler bisher nur einfach ignorant war und die Sicherheitslücke wirklich so gefährlich ist, oder ob es sich bei dem Programmfehler doch eher um eine theoretische Lücke gehandelt hat (Öffnen einer präparierten Datei und manuelles Anstoßen der Konvertierung von UTF16 nach UTF8).

    Siehe dazu den Beitrag unter der Bugmeldung: The CVE is a ridiculous exaggeration of the situation … (stammt nicht vom Entwickler).

    Ich kann nicht einschätzen, ob die Situation irgendwie gefährlich war, aber eine schnellere Reaktion hätte ich schon für angemessen befunden.

    • Neu

    Erledigt, auch wenn ich nicht glaube, dass da Google was dagegen machen wird. Ähnliche Seiten, die zb. eine schädliche Erweiterung einem unterjubeln wollten, hatte ich in der Vergangenheit so oft gemeldet und nix passierte. Aber vielleicht hat sich in der Zwischenzeit ja was geändert und Google wird auch bei solchen Seiten tätig. Die Hoffnung stirbt zuletzt.

    Hilfe auch im deutschsprachigen Matrix-Chat möglich oder im IRC-Chat
    Meine Anleitungstexte dürfen gerne "geklaut" und weiter verwendet/kopiert werden ;)

    • Neu

    Die bemängelte Seite leitet beim Download auf das Original um. Was Werbepartner angeht, so hat die .plus 3 Mal so viele. Aber nichts, wo ich stutzig werden würde. Aber der Eindruck, man wäre auf der "richtigen" Homepage von NPP ist schon recht prägnant. Von daher ist mindestens eine Warnung empfehlenswert. Ich habe mit so einem ähnlichen Text gemeldet und um Entfernung aus den Ergebnissen gebeten. ich sehe das ähnlich wie, da keine Malware oder bösartigen Scripte enthalten sind, kann man nur hoffen, dass es mindestens auf die Sperrliste im Browser gelangt.

    Wenn du weinen möchtest, bist du falsch hier. Hier gibt es nur Lösungen!
    Oh Herr, wirf Hirn, oder Steine - Hauptsache, du triffst endlich.
    Zu viele Goofies und Dulleks vom Dienst. Schlabokka!

    • Neu

    Ich habe die .plus Seite auch auf Google Safebrowsing gemeldet.

    Das ist ein echtes Problem mit diesen Seiten die den Namen von Open Source Projekten versuchen zu Geld zu machen.

    In der Filterliste ublock-badware stehen hunderte solcher URLs.

    Weitere negative Beispiele:

    vlc[.]de

    audacity[.]de

    Auf der deutschsprachigen Seite von 7zip wird auch darauf hingewiesen:

    Technische Unterstützung zu 7-Zip » 7-zip.de

    Zitat
    Warnung vor Download bei Drittanbietern

    Der Download von 7-Zip ist kostenlos von dieser Seite möglich. Dabei werden keine persönlichen Daten abgefragt. In der letzten Zeit erreichen uns allerdings vermehrt Beschwerden über Firmen, die das Programm gegen eine Gebühr zum Download anbieten. Unter anderem führen Suchmaschinen bei dem Suchbegriff 7-Zip zu kostenpflichtigen „Download-Abos“. Wir möchten darauf hinweisen, dass wir mit diesen Angeboten in keinerlei Verbindung stehen und dafür nicht verantwortlich sind. Aufgrund des Open-Source-Gedankens gestattet unsere Lizenz jedoch auch den Verkauf. Geben Sie beim Download von 7-Zip auf keinen Fall Ihre persönlichen Daten preis!

    Ausführliche Informationen dazu finden Sie auch auf den Seiten von de.OpenOffice.org.

    • Neu

    Das mit den Abo-Fallen habe ich noch mitbekommen einst. Ich habe wohl verdrängt, dass 7-zip auch betroffen war.

    Bzgl vlc und audacity - audacity wurde ja verkauft, und "verbessert". Man bekommt aber mit ganz geringem Aufwand noch die letzte Ausgabe vom ursprünglichen Autor. Was ich sagen wollte, vlc und audacity ()de stehen beide in der ublock-Liste "Badware Risks", fehlt nur noch diese.

    Man weiss nie, was sich irgendwann mal später ändern wird, sobald diese Seite in den Köpfen der Nutzer steckt und genügend Zulauf haben wird.

    Wegen vlc()de, das ist ja mal richtig böse, was die da betreiben, man klicke rechts in die Seite zu Banner/Werbemittel. Dann bekommt man eine Übersicht, dass auch Firefox, Openoffice und Thunderbird angeboten werden... lediglich Openoffice verlinkt auch auf die OO-Seiten. Für Firefox bekommt v77.0.1 und für TB 68.9.0. Das sind zwar Originaldateien von Mozilla, aber Stand 2020 und damit aktive Sicherheitslücken. Autsch, sehe grad, dass noch weiter Software, u.a. 7zip angeboten wird, ebenfalls alle veraltet und auch kein Link zum eigentlichen Hersteller.

    Etwas Kontext zu VLC.

    Bei VLC selbst steht in der Überschrift "Plus", aber weiter unten in der Beschreibung kaum mehr davon, ganz unten erst ein Hinweis:

    Zitat

    VLC.de ist nicht assoziiert mit der VideoLAN non-profit organization

    Spätestens da sollte man hellhörig werden. Und die Zeile davor ist nicht mal gelogen:

    Zitat

    Die Software VLC Plus Player enthält keine Viren, Würmer, Trojaner oder sonstige Schadsoftware.

    Das nicht, aber Code, der das Herunterladen und Installieren von begünstigt, Setup ist ein Online-Installer, Sandbox

    Analysis setup.exe (MD5: 650C121EF770044B5B8533EC524B9C7B) Suspicious activity - Interactive analysis ANY.RUN
    Interactive malware hunting service. Live testing of most type of threats in any environments. No installation and no waiting necessary.
    app.any.run

    Fällt bei denen schon unter "Suspicious activity"

    http://www.vlc.de/install/setup.txt, aktuell
    https://download.vlc.de/vlc/ vlc-plus-3.0.20.exe

    Und was dann dieser "Updater" macht, ist hier zu sehen:

    Analysis Updater.exe (MD5: 4094ACD55AAA6425C836B7068B659558) Malicious activity - Interactive analysis ANY.RUN
    Interactive malware hunting service. Live testing of most type of threats in any environments. No installation and no waiting necessary.
    app.any.run

    Das ist auch ziemlich fies, wenn man sich die Verbindungen anschaut, da steht dann sowas
    "\MAILSLOT\BROWSE"

    [MS-BRWS]: Mailslot Frame Example
    The following is an example of a generic browser SMB ([MS-SMB]) that shows how a browser message is encapsulated in a TRANSACT SMB request. Note
    learn.microsoft.com

    Wenn ich das richtig verstanden habe, ist das Teil von SMB v1.

    The beginning of the end of Remote Mailslots as part of Windows Insider
    Latest Windows Insider build 25314.xxx build disables legacy Remote Mailslot protocol.
    techcommunity.microsoft.com

    :thumbdown:

    Wenn du weinen möchtest, bist du falsch hier. Hier gibt es nur Lösungen!
    Oh Herr, wirf Hirn, oder Steine - Hauptsache, du triffst endlich.
    Zu viele Goofies und Dulleks vom Dienst. Schlabokka!

    • Neu

    Da wäre ich vorsichtig, mit solchen Prognosen, es gibt auch anderweitig Aufrufe dazu.

    Wenn du weinen möchtest, bist du falsch hier. Hier gibt es nur Lösungen!
    Oh Herr, wirf Hirn, oder Steine - Hauptsache, du triffst endlich.
    Zu viele Goofies und Dulleks vom Dienst. Schlabokka!