CVE-2021-42574

概要

Unicode仕様の双方向アルゴリズム（14.0まで）に問題が発見されました。この問題は、制御シーケンスによる文字の視覚的な並べ替えを可能にし、コンパイラやインタプリタが取り込むトークンの論理的な順序とは異なるロジックを表示するソースコードを作成するために悪用される可能性があります。攻撃者はこれを利用して、Unicodeを受け入れるコンパイラ向けのソースコードをエンコードし、人間のレビュー担当者には見えない形で標的となる脆弱性を導入することができます。 注記: Unicodeコンソーシアムは、この懸念を提示する別のアプローチを提供しています。Unicode標準およびUnicode双方向アルゴリズム（全バージョン）のサポートを実装するアプリケーションに影響を与える可能性がある、国際テキストの性質に関する問題が指摘されています。テキストに左から右および右から左の文字が含まれる場合のテキスト表示動作により、トークンの視覚的な順序が論理的な順序と異なる場合があります。さらに、双方向テキストの要件を完全にサポートするために必要な制御文字により、トークンの論理的な順序がさらに難読化される可能性があります。緩和策が講じられない限り、攻撃者は、人間のレビュー担当者が認識するトークンの順序が、コンパイラ/インタプリタなどによって処理される順序と一致しないようにソースコードを作成する可能性があります。Unicodeコンソーシアムは、このクラスの脆弱性を文書『Unicode Technical Report #36, Unicode Security Considerations』に記載しています。Unicodeコンソーシアムはまた、このクラスの問題に対する緩和策のガイダンスを『Unicode Technical Standard #39, Unicode Security Mechanisms』および『Unicode Standard Annex #31, Unicode Identifier and Pattern Syntax』で提供しています。さらに、BIDI仕様では、アプリケーションがプログラムテキストにおける誤解を招く視覚的な並べ替えを緩和する方法で実装を調整できるようにしています。『Unicode Standard Annex #9, Unicode Bidirectional Algorithm』のHL4を参照してください。

ソース

• CVE-2021-42574_and_CVE-2021-42694研究

  CVE-2021-42574およびCVE-2021-42694の実演と文書化。Unicode双方向アルゴリズムの脆弱性により、見えないソースコード操作が可能になります。

• CVE-2021-42574エクスプロイト

  最近公開されたbidi攻撃（CVE-2021-42574）を使用して悪意のあるファイルを生成

• CVE-2021-42574