Resumo Executivo

A neutralização incorreta de elementos especiais usados em um comando ('injeção de comando') no Aplicativo Bloco de Notas do Windows permite que um atacante não autorizado execute código por meio de uma rede.

O aplicativo moderno do Bloco de Notas do Windows (distribuído via Microsoft Store) introduziu suporte à renderização de Markdown, que inclui hiperlinks clicáveis. A vulnerabilidade existe porque o Bloco de Notas não valida e sanitiza adequadamente os esquemas de URI dentro de links Markdown antes de processá-los. Um atacante pode criar um arquivo .md malicioso contendo links especialmente formulados que, quando clicados pelo usuário, acionam manipuladores de protocolo não verificados para carregar e executar conteúdo remoto.

Métricas CVSS v3.1

Métricas Base

Métricas Temporais

FAQ

Como um atacante poderia explorar esta vulnerabilidade?

Um atacante poderia enganar um usuário para clicar em um link malicioso dentro de um arquivo Markdown aberto no Bloco de Notas, fazendo com que o aplicativo lance protocolos não verificados que carregam e executam arquivos remotos.

Qual é o contexto alvo da execução remota de código?

De acordo com a métrica CVSS, o vetor de ataque é rede (AV:N) e a interação do usuário é necessária (UI:R). O código malicioso seria executado no contexto de segurança do usuário que abriu o arquivo Markdown, dando ao atacante as mesmas permissões desse usuário.

Cenário de Ataque

1. O atacante cria um arquivo Markdown (.md) contendo hiperlinks maliciosos.
2. A vítima abre o arquivo na versão vulnerável do Bloco de Notas do Windows.
3. O Bloco de Notas renderiza o Markdown e exibe links clicáveis.
4. Quando a vítima clica no link, o Bloco de Notas processa o URI sem validação adequada.
5. Isso aciona manipuladores de protocolo (por exemplo, ms-appinstaller://) que podem buscar e executar cargas úteis remotas, ou URIs file:// que podem iniciar diretamente executáveis locais.
6. O código malicioso é executado com os mesmos privilégios do usuário conectado.

Prova de Conceito

Aviso Legal: Esta prova de conceito é fornecida estritamente para fins educacionais e de pesquisa de segurança autorizada. Não use isto contra sistemas que você não possui ou para os quais não tenha permissão explícita por escrito para testar. O acesso não autorizado a sistemas de computador é ilegal e punível por lei.

A PoC demonstra dois vetores de ataque por meio de links Markdown criados:

Vetor 1 - Instalação de carga útil remota via abuso de manipulador de protocolo:

Vetor 2 - Invocação de executável local via URI de arquivo:

Demonstração

Remediação

• Atualize o Bloco de Notas do Windows para a build 11.2510 ou posterior via Microsoft Store.
• Ative atualizações automáticas de aplicativos em Configurações do Windows > Aplicativos > Microsoft Store.
• Não abra arquivos .md de fontes não confiáveis no Bloco de Notas.
• Não clique em links dentro de arquivos Markdown recebidos por e-mail ou downloads não confiáveis.

Referências

• MSRC - CVE-2026-20841
• NVD - CVE-2026-20841
• CVE.org - CVE-2026-20841

Aviso Legal

As informações fornecidas neste repositório são apenas para fins educacionais e de pesquisa de segurança autorizada. Esta prova de conceito é compartilhada para ajudar defensores a entender e mitigar a vulnerabilidade. O autor não é responsável por qualquer uso indevido das informações ou ferramentas fornecidas aqui. Sempre obtenha autorização escrita adequada antes de testar vulnerabilidades em qualquer sistema. O acesso não autorizado a sistemas de computador é uma infração penal na maioria das jurisdições. Use com responsabilidade e ética.