wsprintfW は引数が2つだけで呼び出されます — 可変長のデータ引数はありません。v38 内のフォーマット指定子は、x64 呼び出し規約の引数スロット (R8、R9、スタック) から値を読み取りますが、そこにはレジスタの残存ガベージが含まれています。

影響を受けるコンポーネント

sub_1400916C0 は FindResults WndProc (sub_140089BF0) 内の4つの箇所から呼び出されます:

影響

クラッシュ — %s (DoS)

各 %s は、ジャンクなレジスタ値またはスタック値を WCHAR* ポインタとして解釈します。最初の無効なアドレスが即座にアクセス違反 (STATUS_ACCESS_VIOLATION、0xC0000005) を引き起こします。悪意のあるファイルが削除されるまで、Notepad++ は以降のすべての検索でクラッシュします — 信頼性の高い、一発で決まる DoS です。

情報漏洩 — %08lx

スタックとレジスタの内容が DWORD 値として読み取られ、16進数としてフォーマットされ、検索結果パネルのタブに表示されます。ライブテストで観測された出力:

5852bb18 や 7b1052e0 などの値は、切り詰められた64ビットポインタの断片です。

悪用の上限

wsprintfW (user32.dll) は %n をサポートしていません — 書き込み先を指定するプリミティブは存在しません。ハードコードされた1024文字の出力制限は、宛先バッファのサイズと正確に一致するため、ヒープバッファオーバーフローは発生しません。この脆弱性は DoS + 情報漏洩 として確認されています。このフォーマット文字列だけではコード実行は達成できません。

攻撃ベクトル

nativeLang.xml はデフォルトでは存在しません — 英語版のインストールは影響を受けません。ユーザーが 設定 → 環境設定 → 一般 → ローカライゼーション で英語以外の言語を選択すると、Notepad++ は対応するファイルを次の場所に書き込みます:

同梱されている94個のローカライゼーションファイルのうち、43個に <find-result-hits> 要素が含まれています。これらの言語のユーザーは、nativeLang.xml が改ざんされた場合に脆弱になります — たとえば、フォーラムやダウンロードサイトを通じて配布される悪意のあるコミュニティ言語パックを介してです。攻撃者は他のすべての文字列に正規の翻訳を含めることができるため、ファイルは正常に見えます。

概念実証

次のファイルを <npp_directory>\nativeLang.xml (ポータブル版) または %APPDATA%\Notepad++\nativeLang.xml (インストーラー版) に配置し、Notepad++ を開いて結果を生成する任意の検索を実行します (Ctrl+F → 現在のドキュメントをすべて検索)。

結果: Notepad++ は wsprintfW 内のアクセス違反により即座にクラッシュします。

追加のペイロードのバリエーションは payloads/ ディレクトリにあります。