TOCTOU: التحقق من HMAC على القرص، التنفيذ من الذاكرة

Notepad++ v8.9.6.2 — تنفيذ أوامر المستخدم المُتحكم بها من قبل المهاجم عبر حالة سباق HMAC

التقرير الأمني

ملخص

قدّم Notepad++ الإصدار v8.9.6.2 فحصاً للتكامل باستخدام HMAC-SHA256 على ملف shortcuts.xml لمنع حقن إدخالات UserCommand عشوائية.

يحتوي هذا الفحص على ثغرة من نوع TOCTOU: يتم التحقق من HMAC مقابل الملف الموجود على القرص في وقت التشغيل، ولكن الأمر الذي يُنفَّذ يُقرأ من المتجه _userCommands المخزّن في الذاكرة والمُحمّل عند بدء التشغيل. لا يتم إعادة مزامنة هذين المصدرين أبداً.

يمكن للمهاجم الذي يستطيع الكتابة على shortcuts.xml زرع أمر ضار قبل بدء التشغيل، والسماح لـ Notepad++ بتحميله إلى الذاكرة، ثم استعادة الملف الشرعي على القرص، ثم تشغيل الأمر. ينجح فحص HMAC (القرص نظيف)، ولكن الحمولة الضارة تُنفَّذ (الذاكرة قديمة).

نظرة فنية

تتحقق آلية التكامل من ملف shortcuts.xml الحالي على القرص، بينما يستخدم تنفيذ الأمر تمثيلاً تم تحميله سابقاً في الذاكرة. ونظراً لأن مصدري البيانات مستقلان، يمكن للمهاجم تغيير الملف قبل بدء التشغيل، والسماح بتحليله في الذاكرة، ثم استعادة الملف الأصلي قبل تنفيذ الأمر — مما يتسبب في نجاح فحص HMAC بينما تعمل الحمولة الضارة.

السبب الجذري

السطور 4328–4359 في ملف NppCommands.cpp:

// TIME OF CHECK — يقرأ الملف من القرص
std::string currentHMAC = computeHMAC(
    getMachineGUID(),
    getFileContent(nppParams.getShortcutsPath().c_str())
);
if (currentHMAC != nppGUI._shortcutsXmlHmacInConfig) { return; }
// تم التحقق مقابل الملف على القرص

// TIME OF USE — يقرأ من المتجه في الذاكرة (تم تحميله عند بدء التشغيل، لم يتم تحديثه أبداً)
int i = id - ID_USER_CMD;
const vector<UserCommand>& cmds = nppParams.getUserCommandList();
UserCommand ucmd = cmds[i];
Command cmd(string2wstring(ucmd.getCmd(), CP_UTF8));
cmd.run(_pPublicInterface->getHSelf()); // ينفذ الحمولة من الذاكرة

سيناريو الهجوم

الشرط المسبق: صلاحية الكتابة على shortcuts.xml

• تثبيت محمول (Portable): نفس مجلد notepad++.exe
• تثبيت قياسي: %AppData%\Notepad++\

الخطوات:

1. استبدال shortcuts.xml على القرص بنسخة ضارة (cmd = calc.exe)
2. تشغيل Notepad++ — يتم ملء _userCommands من الملف الضار
3. استعادة ملف shortcuts.xml الشرعي على القرص — يصبح HMAC مطابقاً لـ config.xml
4. إرسال WM_COMMAND(21000) (ID_USER_CMD+0) أو الضغط على Ctrl+Alt+P
5. فحص HMAC يقرأ الملف الشرعي من القرص → ينجح
6. التنفيذ يقرأ _userCommands[0] من الذاكرة → يعمل calc.exe

النتيجة: تنفيذ أوامر يتحكم بها المهاجم تحت صلاحيات المستخدم الحالي. لا حاجة لصلاحية المسؤول، لا UAC، لا تحذير للمستخدم.

الجدول الزمني للتنفيذ

التأثير

إثبات المفهوم

انظر poc_8962_toctou.ps1.

المتطلبات:

• Notepad++ الإصدار v8.9.6.2 المحمول (portable) x64
• وجود ملف doLocalConf.xml في مجلد Notepad++ (الوضع المحمول)
• ملف config.xml يحتوي على HMAC صالح لملف shortcuts.xml الشرعي

.\poc_8962_toctou.ps1 -NppPath "C:\path\to\notepad++.exe"

تم التحقق: تم إنشاء calc.exe (PID 35932)، ويظهر القرص ملف shortcuts.xml شرعياً طوال الوقت.

تحليل التصحيح

ينقل الإصلاح (commit 4f7563c) التحقق من HMAC إلى وقت بدء التشغيل، إلى جانب عملية تحليل الملف الأولية. الآن يعمل كل من التحقق والاستخدام على نفس الكائن في نفس الوقت، مما يزيل نافذة TOCTOU.

المراجع

• GHSA-qm4c-qg8p-qfcr
• تصحيح commit 4f7563c
• إصدار Notepad++ v8.9.6.4