CVE-2021-42694

Zusammenfassung

In den Zeichendefinitionen der Unicode-Spezifikation bis einschließlich Version 14.0 wurde ein Problem entdeckt. Die Spezifikation ermöglicht es einem Angreifer, Quellcode-Bezeichner wie Funktionsnamen mithilfe von Homoglyphen zu erzeugen, die visuell identisch zu einem Zielbezeichner erscheinen. Angreifer können dies ausnutzen, um Code über feindliche Bezeichnerdefinitionen in Upstream-Softwareabhängigkeiten einzuschleusen, die in Downstream-Software täuschend aufgerufen werden. HINWEIS: Das Unicode-Konsortium bietet den folgenden alternativen Ansatz zur Darstellung dieses Problems an. Ein Problem wird in der Natur internationaler Texte festgestellt, das Anwendungen betreffen kann, die Unterstützung für den Unicode-Standard (alle Versionen) implementieren. Sofern nicht gemindert, könnte ein Angreifer Quellcode-Bezeichner mithilfe von Homoglyphenzeichen erzeugen, die visuell identisch zu, aber verschieden von einem Zielbezeichner erscheinen. Auf diese Weise könnte ein Angreifer feindliche Bezeichnerdefinitionen in Upstream-Software einschleusen, die von menschlichen Prüfern nicht erkannt und in Downstream-Software täuschend aufgerufen werden. Das Unicode-Konsortium hat diese Klasse von Sicherheitslücken in seinem Dokument Unicode Technical Report #36, Unicode Security Considerations, dokumentiert. Das Unicode-Konsortium bietet außerdem Anleitungen zur Minderung dieser Problemklasse in Unicode Technical Standard #39, Unicode Security Mechanisms.

Quellen

• CVE-2021-42574_and_CVE-2021-42694Forschung

  Demonstration und Dokumentation von CVE-2021-42574 und CVE-2021-42694, Schwachstellen im Unicode-Bidirektionalalgorithmus, die eine unsichtbare Manipulation von Quellcode ermöglichen.

• CVE-2021-42694