Ich bin weit davon entfernt, zu beurteilen, wie daraus eine Arbitrary Code Execution wird. Das wird zwar behauptet, aber nicht belegt. Gibt es einen Exploit?

Die Security-Welt hat sich an der Stelle etwas weitergedreht. Ein Exploit wird in der Regel aus mehreren Vulnerabilities zusammengesetzt. Wenn du in der Lage bist, Speicher zu überschreiben, bist du in der Lage, Code zu kontrollieren indem du die Daten modifizierst auf denen der Code basiert. Das wird zu 99% dafür sorgen dass es irgendeinen abstrusen Weg gibt, das Programm dazu zu zwingen, an eine vom Angreifer überschriebene und kontrollierte Sektion zu springen. Sobald das der Fall ist, gibt es Standard-Code der auf 3 gängigen Betriebssystemen auf den meisten Patch-Ständen effektiv wird und danach hochprivilegierte Rechte auf dem OS bereitstellt. Und danach gibt es kaufbare Malware die man danach durchziehen kann um Netzwerke zu übernehmen und Leute zu erpressen.

Und die ganzen wenns und abers im letzten Absatz sind der Grund, warum selbst diese Baustein-Lücken schnell geschlossen werden müssen. Jetzt kennt man sie, jetzt suchen einige bösartigen Menschen in dieser Welt nach dem einen Brückenstein zwischen einer potentiellen Sicherheitslücke und einer Spam-Mail-Welle gefolgt von SYSTEM-privilegien auf einer sehr grossen Menge an Systemen.

Und um ehrlich zu sein - bei sowas wie Notepad++ hast du eine Patch-Latenz von Monaten oder mehr. Das Ding installieren Leute und ignorieren es dann, weil “funtioniert doch”. “Warum soll man dann updaten, dann funktioniert doch nix mehr”. Grade bei sowas will man Patches schneller auf den Weg kriegen.

Das ist leider der Fluch des Erfolges in Software.