Googleで脆弱性に関する研究に従事しているTavis Ormandy氏がこのほど、「Tavis Ormandyさんのツイート: Am I the first person to pop a shell in notepad? 🤣 ....believe it or not, It's a real bug! 🐞」において、Windowsのメモ帳に任意コマンドを実行できるバグが存在する可能性を示唆した。Twitterに投稿された画像には、メモ帳からコマンドプロンプト（cmd.exe）が実行された様子が示されている。
-
Tavis Ormandy氏によるツイート (@taviso)
Ormandy氏はすでにこの問題をMicrosoftへ報告済みとしている。本稿執筆時点で、Microsoftからセキュリティパッチやアップデートの提供は行われていない。Microsoftがこの問題を脆弱性やバグと認識した場合は、今後のアップデートで修正対象になると見られる。バグに関する詳細はそのあとに公開されると見られる。
Ormandy氏は、この問題がメモリ破壊の脆弱性によって引き起こされるもので、純粋にただのバグだろうと指摘している。攻撃に悪用するとしても、攻撃者はダイアログを右クリックできず、脆弱性ではなくただのバグではないかという見解を示している。Twitterのやりとりの中で「Notebad」という言葉も使われている。
この問題がバグと認識されるか、脆弱性と認識されるかはMicrosoft内部の規定によることになると見られるが、修正が行われた後は問題の詳細が公開されることが見込まれ、詳しい情報の発表が待たれる。
