CVE-2021-42574

Riepilogo

È stato scoperto un problema nell'Algoritmo Bidirezionale della Specifica Unicode fino alla versione 14.0. Esso consente il riordinamento visivo dei caratteri tramite sequenze di controllo, che possono essere utilizzate per creare codice sorgente che visualizza una logica diversa rispetto all'ordinamento logico dei token elaborati da compilatori e interpreti. Gli avversari possono sfruttare questo aspetto per codificare codice sorgente destinato a compilatori che accettano Unicode, in modo tale che vulnerabilità mirate vengano introdotte in modo invisibile ai revisori umani. NOTA: l'Unicode Consortium offre il seguente approccio alternativo per presentare questa problematica. Viene segnalato un problema nella natura del testo internazionale che può interessare le applicazioni che implementano il supporto allo Standard Unicode e all'Algoritmo Bidirezionale Unicode (tutte le versioni). A causa del comportamento di visualizzazione del testo quando questo include caratteri da sinistra a destra e da destra a sinistra, l'ordine visivo dei token può differire dal loro ordine logico. Inoltre, i caratteri di controllo necessari per supportare pienamente i requisiti del testo bidirezionale possono ulteriormente oscurare l'ordine logico dei token. Se non mitigato, un avversario potrebbe creare codice sorgente in modo tale che l'ordinamento dei token percepito dai revisori umani non corrisponda a quello che verrà elaborato da un compilatore/interprete/ecc. L'Unicode Consortium ha documentato questa classe di vulnerabilità nel suo documento, Unicode Technical Report #36, Unicode Security Considerations. L'Unicode Consortium fornisce inoltre indicazioni sulle mitigazioni per questa classe di problemi in Unicode Technical Standard #39, Unicode Security Mechanisms, e in Unicode Standard Annex #31, Unicode Identifier and Pattern Syntax. Inoltre, la specifica BIDI consente alle applicazioni di personalizzare l'implementazione in modi che possono mitigare il riordinamento visivo fuorviante nel testo dei programmi; vedere HL4 in Unicode Standard Annex #9, Unicode Bidirectional Algorithm.

• CVE-2021-42574_and_CVE-2021-42694