🇰🇷 한글 설명
Notepad Next 0.14 미만 버전에서 파일 확장자를 검증 없이 Lua 스크립트에 삽입하는 취약점이 발견되었습니다. 공격자가 악성 Lua 코드가 포함된 파일명을 생성하여 사용자가 파일을 열게 유도하면 임의의 명령어가 실행될 수 있습니다. 이 문제는 버전 0.14에서 패치되었습니다.
💡 쉬운 설명
메모장 프로그램이 파일의 확장자를 읽어올 때 보안 검사를 하지 않아 발생하는 문제입니다. 파일 이름에 특수 코드를 숨겨두면, 파일을 여는 순간 해커가 내 컴퓨터를 마음대로 조종할 수 있습니다.
🇺🇸 원문 (English)
Notepad Next is a cross-platform, reimplementation of Notepad++. Prior to version 0.14, NotepadNext's detectLanguageFromExtension() function interpolates a file's extension directly into a Lua script without sanitization. An attacker can craft a filename whose extension contains Lua code, which executes automatically when the victim opens the file in NotepadNext. Because luaL_openlibs() is called unconditionally, the full os, io, and package libraries are available to the injected code, enabling arbitrary command execution. This issue has been patched in version 0.14.
📍 영향받는 시스템
Notepad Next 0.14 미만 모든 버전
⚔️ 공격 벡터
악성 Lua 코드가 포함된 파일 확장자를 가진 파일을 사용자가 열도록 유도
🛡️ 대응 방법
Notepad Next를 최신 버전인 0.14 이상으로 업데이트
🔧 검증 코드
출력된 버전 번호가 0.14 미만인지 확인하여 취약 여부를 판단합니다.
notepadnext --version 2>/dev/null || echo 'Version check required'