Una vulnerabilidad crítica de secuestro de DLL (DLL hijacking) ha sido descubierta en Notepad++, el popular editor de código fuente utilizado por millones de desarrolladores en todo el mundo. El fallo, identificado como CVE-2025-56383, afecta a la versión 8.8.3 y podría impactar a todas las instalaciones existentes del software.
El problema radica en la forma en que Notepad++ carga las bibliotecas necesarias para su funcionamiento. Si el programa busca un archivo DLL sin especificar la ruta completa, Windows recurre a un orden predefinido de directorios. Un atacante local puede aprovechar esta debilidad colocando una DLL maliciosa con el mismo nombre que una legítima en un directorio que se cargue antes del original.
Según la demostración publicada, el ataque puede ejecutarse reemplazando archivos de complementos, como NppExport.dll, dentro del directorio de plugins de Notepad++. El atacante puede renombrar el archivo legítimo y hacer que su DLL maliciosa lo sustituya, mientras reenvía las funciones legítimas al archivo original para no levantar sospechas. Esta técnica, conocida como proxying, permite ejecutar código malicioso en segundo plano cada vez que se abre el editor.
Aunque la demostración solo mostró la aparición de un cuadro de mensaje como prueba de ejecución, el impacto potencial es grave: el atacante podría usar la vulnerabilidad para obtener persistencia en el sistema o escalar privilegios.
Por el momento, los desarrolladores de Notepad++ no han publicado un parche oficial para esta vulnerabilidad. Se recomienda a los usuarios descargar únicamente versiones desde el sitio web oficial, vigilar cambios no autorizados en los directorios de instalación y aplicar controles de integridad de archivos.
La amenaza principal está en entornos donde un atacante ya tenga acceso inicial al sistema. En ese escenario, esta vulnerabilidad facilitaría la instalación de malware persistente cada vez que se ejecute.
Más información:
- https://cybersecuritynews.com/notepad-hijacking-vulnerability/
- https://nvd.nist.gov/vuln/detail/CVE-2025-56383
Deja una respuesta