TOCTOU: HMACでディスクを検証し、メモリから実行

Notepad++ v8.9.6.2 — HMAC競合状態を介した攻撃者制御のUserCommand実行

アドバイザリ

概要

Notepad++ v8.9.6.2では、任意のUserCommandエントリの注入を防ぐために、shortcuts.xmlに対するHMAC-SHA256整合性チェックが導入されました。

このチェックにはTOCTOUの欠陥があります。HMACはトリガー時にディスク上のファイルに対して検証されますが、実行されるコマンドは起動時に読み込まれたメモリ内の_userCommandsベクターから読み取られます。これら2つのソースが再同期されることはありません。

shortcuts.xmlに書き込みできる攻撃者は、起動前に悪意のあるコマンドを仕込み、Notepad++にそれをメモリへ読み込ませ、ディスク上の正当なファイルを復元してからコマンドをトリガーできます。HMACチェックは成功します（ディスクはクリーン）が、悪意のあるペイロードが実行されます（メモリは古いまま）。

技術概要

整合性メカニズムは現在のディスク上のshortcuts.xmlを検証する一方、コマンド実行は以前に読み込まれたメモリ内の表現を使用します。2つのデータソースは独立しているため、攻撃者は起動前にファイルを変更し、それをメモリに解析させ、コマンド実行前に元のファイルを復元できます。これにより、HMACチェックは成功する一方で、悪意のあるペイロードが実行されます。

根本原因

NppCommands.cpp の4328〜4359行目:

// TIME OF CHECK — reads on-disk file
std::string currentHMAC = computeHMAC(
    getMachineGUID(),
    getFileContent(nppParams.getShortcutsPath().c_str())
);
if (currentHMAC != nppGUI._shortcutsXmlHmacInConfig) { return; }
// validated against DISK

// TIME OF USE — reads in-memory vector (loaded at startup, never refreshed)
int i = id - ID_USER_CMD;
const vector<UserCommand>& cmds = nppParams.getUserCommandList();
UserCommand ucmd = cmds[i];
Command cmd(string2wstring(ucmd.getCmd(), CP_UTF8));
cmd.run(_pPublicInterface->getHSelf()); // executes payload from MEMORY

攻撃シナリオ

前提条件: shortcuts.xmlへの書き込みアクセス権

• ポータブル版インストール: notepad++.exeと同じディレクトリ
• 標準インストール: %AppData%\Notepad++\

手順:

1. ディスク上のshortcuts.xmlを悪意のあるバージョン（cmd = calc.exe）で上書きする
2. Notepad++を起動する — _userCommandsが悪意のあるファイルから読み込まれる
3. 正当なshortcuts.xmlをディスクに復元する — HMACがconfig.xmlと一致する
4. WM_COMMAND(21000)（ID_USER_CMD+0）を送信するか、Ctrl+Alt+Pを押す
5. HMACチェックがディスクから正当なファイルを読み取る → 成功
6. 実行がメモリから_userCommands[0]を読み取る → calc.exeが実行される

結果: 現在のユーザーの権限で攻撃者制御のコマンドが実行されます。管理者権限は不要、UACプロンプトなし、ユーザーへの警告もありません。

実行タイムライン

影響

概念実証

poc_8962_toctou.ps1 を参照してください。

要件:

• Notepad++ v8.9.6.2 ポータブル版 x64
• Notepad++ディレクトリにdoLocalConf.xmlが存在すること（ポータブルモード）
• 正当なshortcuts.xmlに対する有効なHMACを含むconfig.xml

.\poc_8962_toctou.ps1 -NppPath "C:\path\to\notepad++.exe"

検証済み: calc.exeが起動され（PID 35932）、ディスクには常に正当なshortcuts.xmlが表示されていました。

パッチ分析

修正（コミット4f7563c）では、HMAC検証が初期ファイル解析とともに起動時に移動されました。チェックと使用が同じタイミングで同じオブジェクトに対して行われるようになり、TOCTOUの窓が排除されました。

参考情報

• GHSA-qm4c-qg8p-qfcr
• パッチコミット 4f7563c
• Notepad++ v8.9.6.4 リリース