Notepad++ : la mise à jour 7.3.3 corrige la faille exploitée par la CIA

Après la publication de milliers de documents provenant des serveurs internes de la CIA, les développeurs et éditeurs tentent tant bien que mal de corriger les failles révélées par la fuite Vault 7 (nom choisi par Wikileaks pour parler de la cascade de documents confidentiels provenant des archives de la CIA) malgré l’absence de publication du code source des vulnérabilités, ce qui fait que l’élaboration de correctifs est complexe. Cette fuite a fait réagir plusieurs géants comme Google, Microsoft ou encore Samsung. Il a été révélé également que l’agence mythique d’espionnage américaine s'est servie de VLC et de plusieurs autres logiciels portés par la communauté du libre pour mener ses opérations d'espionnage.

Parmi ces programmes, figure le très populaire éditeur de code source Notepad++. Ce dernier a eu droit à une mise à jour visant à corriger la faille “Vault 7” exploitée par la CIA. Sur le site officiel de l’éditeur, il explique comment sur un PC compromis, la CIA a détourné le fichier DLL scilexer.dll (nécessaire à Notepad++) pour le remplacer par une DLL scilexer.dll modifiée et conçue par la CIA. Lorsque Notepad++ est lancé, la DLL scilexer.dll modifiée est chargée à la place de la DLL originale. Tout comme pour VLC, la CIA cherche à exfiltrer des données lorsque l’utilisateur est en train d’utiliser le logiciel de façon anodine.

Pour remédier à cette situation, la nouvelle version (v7.3.3) aura tendance à vérifier la conformité du certificat de la DLL avant de la charger. Si le certificat est manquant ou invalide, il ne sera pas chargé et Notepad++ ne sera pas lancé.

L’éditeur du code a tenu à rappeler que la vérification des certificats des DLL renforce la sécurité, mais si votre PC est compromis, les pirates seront en mesure de faire ce qu’ils veulent avec votre machine. La solution présentée avec cette mise à jour vise seulement à éviter que Notepad++ charge une DLL conçue par la CIA. Elle ne permet malheureusement pas d’éviter que le fichier Notepad++.exe original soit remplacé par une version modifiée quand la CIA contrôle déjà votre PC. Autrement dit, s’ils sont capables de remplacer la DLL dans votre machine, ils seront en mesure de remplacer le fichier .exe et désactiver la vérification des certificats.

« C’est comme lorsque je sais que verrouiller la porte est inutile pour les personnes qui veulent entrer dans ma maison, mais je continue à fermer la porte à clé chaque matin lorsque je quitte ma demeure. C’est malheureusement le monde dans lequel nous vivons aujourd’hui. » Wikileaks n’a pas indiqué si la CIA utilise ses outils pour espionner des citoyens américains, une démarche qui serait illégale et contraire à la déclaration de droits américaine.

Cette mise à jour apporte également un lot d’améliorations et de corrections de bogues, elle fixe le plantage de la molette de la souris dans la liste de tâches et corrige un problème de scintillement lors du basculement après modification ou suppression d'un document de l'extérieur. La liste complète des changements est à consulter ici.

Télécharger Notepad++ v7.3.3

Source : Notepad++

Et vous ?

Que pensez-vous des agissements et méthodes de la CIA ?

Voir aussi :

Vault 7 : Apple et Google considèrent leurs produits assez protégés, Microsoft et Samsung examinent les failles révélées, Mozilla et l'EFF accusent
La CIA s'est servie de VLC et de plusieurs autres logiciels portés par la communauté du libre pour mener ses opérations d'espionnage