Notepad++ < 8.9.3 libcurl TLS CA ストアキャッシング (CVE-2025-14819)

medium Nessus プラグイン ID 304669

Language:

概要

リモート Windows ホストのテキストエディターは、TLS 証明書の検証の脆弱性の影響を受けます。

説明

リモートホストにインストールされている Notepad++ のバージョンは、8.9.3 より前です。したがって、脆弱性の影響を受けます。

- Notepad++ のアップデーターである WinGUp によって使用される、バンドルされた libcurl ライブラリに欠陥が存在します。- 再利用された easy またはマルチハンドルで TLS に関連した転送を実行し CURLSSLOPT_NO_PARTIALCHAIN オプションを変更する場合、部分的なチェーンオプションが逆にされたメモリで、libcurl がキャッシュされた CA ストアを意図せずに再利用する可能性があります。これにより、他の方法では実行できませんが、トラストチェーンを libcurl が見つけて受け入れることができます。(CVE-2025-14819)

さらに、バージョン 8.9.3 には、複数のクラッシュの回帰とその他の安定性の改善に関する修正が含まれています。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。