CVE-2021-42694

Riepilogo

È stato scoperto un problema nelle definizioni dei caratteri della Specifica Unicode fino alla versione 14.0. La specifica consente a un avversario di produrre identificatori di codice sorgente, come nomi di funzioni, utilizzando omoglifi che vengono visualizzati come identici a un identificatore target. Gli avversari possono sfruttare questo aspetto per iniettare codice tramite definizioni di identificatori avversari in dipendenze software a monte, invocate in modo ingannevole nel software a valle. NOTA: l'Unicode Consortium offre il seguente approccio alternativo per presentare questa preoccupazione. Viene segnalato un problema nella natura del testo internazionale che può interessare le applicazioni che implementano il supporto per lo Standard Unicode (tutte le versioni). Se non mitigato, un avversario potrebbe produrre identificatori di codice sorgente utilizzando caratteri omoglifi che vengono visualizzati come identici a un identificatore target ma che ne sono distinti. In questo modo, un avversario potrebbe iniettare definizioni di identificatori avversari nel software a monte che non vengono rilevate dai revisori umani e che vengono invocate in modo ingannevole nel software a valle. L'Unicode Consortium ha documentato questa classe di vulnerabilità di sicurezza nel suo documento, Unicode Technical Report #36, Unicode Security Considerations. L'Unicode Consortium fornisce inoltre indicazioni sulle mitigazioni per questa classe di problemi nello Unicode Technical Standard #39, Unicode Security Mechanisms.

• CVE-2021-42574_and_CVE-2021-42694Ricerca

  Dimostrazione e documentazione di CVE-2021-42574 e CVE-2021-42694, vulnerabilità dell'algoritmo bidirezionale Unicode che consentono la manipolazione invisibile del codice sorgente.