Zusammenfassung

Eine unzureichende Neutralisierung spezieller Elemente in einem Befehl („Befehlsinjektion“) in der Windows-Notepad-App ermöglicht es einem nicht autorisierten Angreifer, Code über ein Netzwerk auszuführen.

Die moderne Windows-Notepad-App (über den Microsoft Store verteilt) hat Unterstützung für die Markdown-Darstellung eingeführt, die auch klickbare Hyperlinks umfasst. Die Schwachstelle besteht darin, dass Notepad URI-Schemata in Markdown-Links vor der Verarbeitung nicht ordnungsgemäß validiert und bereinigt. Ein Angreifer kann eine bösartige .md-Datei mit speziell gestalteten Links erstellen, die beim Anklicken durch den Benutzer unverifizierte Protokoll-Handler auslösen, um entfernte Inhalte zu laden und auszuführen.

CVSS v3.1-Metriken

Basismetriken

Zeitmetriken

FAQ

Wie könnte ein Angreifer diese Schwachstelle ausnutzen?

Ein Angreifer könnte einen Benutzer dazu verleiten, einen bösartigen Link in einer in Notepad geöffneten Markdown-Datei anzuklicken, wodurch die Anwendung unverifizierte Protokolle startet, die entfernte Dateien laden und ausführen.

Was ist der Zielkontext der Remote-Codeausführung?

Gemäß der CVSS-Metrik ist der Angriffsvektor Netzwerk (AV:N) und eine Benutzerinteraktion ist erforderlich (UI:R). Der bösartige Code würde im Sicherheitskontext des Benutzers ausgeführt, der die Markdown-Datei geöffnet hat, wodurch der Angreifer dieselben Berechtigungen wie dieser Benutzer erhält.

Angriffsszenario

1. Der Angreifer erstellt eine Markdown-Datei (.md), die bösartige Hyperlinks enthält.
2. Das Opfer öffnet die Datei in der verwundbaren Version von Windows Notepad.
3. Notepad rendert das Markdown und zeigt klickbare Links an.
4. Wenn das Opfer auf den Link klickt, verarbeitet Notepad den URI ohne ordnungsgemäße Validierung.
5. Dies löst Protokoll-Handler aus (z. B. ms-appinstaller://), die entfernte Payloads abrufen und ausführen können, oder file://-URIs, die direkt lokale ausführbare Dateien starten können.
6. Der bösartige Code wird mit denselben Berechtigungen wie der angemeldete Benutzer ausgeführt.

Proof of Concept

Haftungsausschluss: Dieser Proof of Concept dient ausschließlich zu Bildungs- und autorisierten Sicherheitsforschungszwecken. Verwenden Sie ihn nicht gegen Systeme, die Ihnen nicht gehören oder für die Sie keine ausdrückliche schriftliche Genehmigung zum Testen haben. Unbefugter Zugriff auf Computersysteme ist illegal und strafbar.

Der PoC demonstriert zwei Angriffsvektoren über manipulierte Markdown-Links:

Vektor 1 – Installation entfernter Payloads durch Missbrauch von Protokoll-Handlern:

Vektor 2 – Aufruf lokaler ausführbarer Dateien über Datei-URI:

Demo

Abhilfemaßnahmen

• Aktualisieren Sie Windows Notepad auf Build 11.2510 oder höher über den Microsoft Store.
• Aktivieren Sie automatische App-Updates unter Windows-Einstellungen > Apps > Microsoft Store.
• Öffnen Sie keine .md-Dateien aus nicht vertrauenswürdigen Quellen in Notepad.
• Klicken Sie nicht auf Links in Markdown-Dateien, die Sie per E-Mail oder über nicht vertrauenswürdige Downloads erhalten haben.

Referenzen

• MSRC – CVE-2026-20841
• NVD – CVE-2026-20841
• CVE.org – CVE-2026-20841

Rechtlicher Haftungsausschluss

Die in diesem Repository bereitgestellten Informationen dienen ausschließlich Bildungs- und autorisierten Sicherheitsforschungszwecken. Dieser Proof of Concept wird geteilt, um Verteidigern zu helfen, die Schwachstelle zu verstehen und zu entschärfen. Der Autor ist nicht verantwortlich für jeglichen Missbrauch der hier bereitgestellten Informationen oder Werkzeuge. Holen Sie immer eine ordnungsgemäße schriftliche Genehmigung ein, bevor Sie Systeme auf Schwachstellen testen. Unbefugter Zugriff auf Computersysteme ist in den meisten Rechtsordnungen eine Straftat. Verwenden Sie dies verantwortungsvoll und ethisch.