CVE-2021-42694

ملخص

تم اكتشاف مشكلة في تعريفات الأحرف في مواصفات يونيكود حتى الإصدار 14.0. تسمح المواصفات للمهاجم بإنتاج معرفات في الكود المصدري مثل أسماء الدوال باستخدام هوموغليفات (homoglyphs) تظهر بصريًا مطابقة لمعرف مستهدف. يمكن للمهاجمين استغلال ذلك لحقن الكود عبر تعريفات معرفات خبيثة في تبعيات البرمجيات المنبعية (upstream) التي يتم استدعاؤها بشكل خادع في البرمجيات المصبية (downstream). ملاحظة: يقدم اتحاد يونيكود النهج البديل التالي لعرض هذا القلق. تُلاحظ مشكلة في طبيعة النص الدولي التي يمكن أن تؤثر على التطبيقات التي تنفذ دعم معيار يونيكود (جميع الإصدارات). ما لم يتم التخفيف منها، يمكن للمهاجم إنتاج معرفات في الكود المصدري باستخدام أحرف هوموغليفية تظهر بصريًا مطابقة لمعرف مستهدف ولكنها مختلفة عنه. بهذه الطريقة، يمكن للمهاجم حقن تعريفات معرفات خبيثة في البرمجيات المنبعية التي لا يكتشفها المراجعون البشريون ويتم استدعاؤها بشكل خادع في البرمجيات المصبية. قام اتحاد يونيكود بتوثيق هذه الفئة من الثغرات الأمنية في وثيقته، التقرير الفني ليونيكود رقم 36، اعتبارات أمان يونيكود. كما يوفر اتحاد يونيكود إرشادات حول التخفيف من هذه الفئة من المشكلات في المعيار الفني ليونيكود رقم 39، آليات أمان يونيكود.

المصادر

• CVE-2021-42574_and_CVE-2021-42694البحث

  عرض وتوثيق لثغرات CVE-2021-42574 وCVE-2021-42694، وهي ثغرات خوارزمية الاتجاه الثنائي في اليونيكود التي تتيح التلاعب غير المرئي بالشفرة المصدرية.

• CVE-2021-42694استغلال

  توليد ملفات خبيثة باستخدام هجوم التماثل الحرفي المنشور مؤخرًا (CVE-2021-42694)