Notepad++ 8.9.9.1 behebt Fehler beim Speichern nach Sicherheitsupdate

Sechs Sicherheitslücken bereits mit Version 8.9.9 geschlossen

Das vorausgegangene Update 8.9.9 korrigierte nach Angaben des Projekts sechs Sicherheitsprobleme. Dazu gehören zwei Fehler bei der Verarbeitung von WM_COPYDATA-Nachrichten zwischen Windows-Prozessen: eine unzureichende Prüfung des Absenders und eine mögliche Rechteausweitung beim Ausführen von Plugin-Befehlen. Hinzu kommen eine Offenlegung von Speicherinhalten und ein Problem beim Zugriff auf Array-Elemente über NPPM_MENUCOMMAND.

Außerdem wurde ein Time-of-check-to-time-of-use-Risiko (TOCTOU) beim Anlegen temporärer Dateien im Zusammenhang mit Benutzerkontensteuerungs-Vorgängen korrigiert. Im mitgelieferten Plugin MIME Tools schließt eine Anpassung der SAML-Dekodierung einen Heap-Pufferüberlauf. Das Projekt nennt für diese sechs Punkte in seinen Versionshinweisen noch keine vergebenen CVE-Nummern. Aus der Aufzählung allein lässt sich keine bestätigte aktive Ausnutzung ableiten.

Die vollständigen Sicherheits- und Funktionsänderungen listet der Entwickler in der Veröffentlichungsmitteilung zu Notepad++ 8.9.9 auf. Die Probleme betreffen unterschiedliche Programmteile und haben nicht alle denselben Angriffsweg oder dieselben Voraussetzungen.

Version 8.9.9.1 behebt Probleme beim Speichern und in Projekten

Besonders relevant für Windows-Nutzer ist die Reparatur des Speichervorgangs unter dem Administratorenschutz. Bei bestimmten Installationen konnte Notepad++ Dateien nach der Aktualisierung auf 8.9.9 nicht wie vorgesehen speichern, wenn die für administrative Vorgänge genutzte UAC-Umgebung aktiv war. Die Nachbesserung behebt diesen Regressionsfehler; sie ist nicht mit der separaten Sicherheitslücke im temporären Speichervorgang aus Version 8.9.9 gleichzusetzen.

Auch die Ansicht Folder as Workspace wird korrigiert: Verzeichnisse mit symbolischen Verknüpfungen wurden zuvor unter Umständen nicht vollständig geladen. Hinzu kommt eine Korrektur für das mehrfache Einfügen in virtuellen Textbereichen. Der Suchdialog erhält zusätzlich die Möglichkeit, alle Treffer hervorzuheben. Diese Änderungen richten sich an Anwender, die mit Projekten, größeren Textbeständen oder administrativ geschützten Dateien arbeiten.

Installationen und automatische Updates prüfen

Für Entwickler, Administratoren und andere regelmäßige Nutzer ist 8.9.9.1 die passende Zielversion: Sie enthält die sechs Sicherheitskorrekturen der Vorversion und beseitigt deren unmittelbar nach Veröffentlichung bekannt gewordene Funktionsfehler. Bei zentral verwalteten Installationen sollten besonders die eingesetzte Architektur, das Installationspaket und das mitgelieferte MIME-Tools-Plugin berücksichtigt werden. Für 64-Bit-Windows stellt das Projekt sowohl eine EXE- als auch eine MSI-Installation bereit; außerdem gibt es 32-Bit-, ARM64- und portable Pakete.

Der Entwickler kündigt die automatische Aktualisierung üblicherweise erst rund eine Woche nach der Veröffentlichung an, sofern keine schwerwiegenden Probleme auffallen. Deshalb können bereits installierte Ausgaben im eingebauten Updater zeitweise noch keinen sofortigen Wechsel anbieten. Eine manuelle Installation aus dem offiziellen Release ist für zeitnah aktualisierende Nutzer eine Alternative. Die installierte Version lässt sich in Notepad++ über die Programminformationen kontrollieren.

Download und Update

Offizielle Veröffentlichung: Notepad++ 8.9.9.1 auf GitHub mit sämtlichen Installern und Prüfsummen. Das aktuelle 64-Bit-Installationsprogramm (EXE) und das MSI-Paket für 64-Bit-Windows stammen direkt aus den offiziellen GitHub-Release-Assets.

Der auf der Entwicklerseite veröffentlichte SHA-256-Wert des x64-EXE-Installers lautet ce3267f5c4e7e42f847e00f4b20234da6150647203033cdde34a69593efc3152. Für das x64-MSI-Paket ist e3b0607a092ce2604fbdac027db2c94915995e8e568ebd226f8c5493c2f61a80 angegeben. Diese Werte dienen zur Kontrolle einer heruntergeladenen Datei; sie sind keine Aussage über einen hier durchgeführten Installationstest.