CVE-2021-42694

Resumo

Foi descoberto um problema nas definições de caracteres da Especificação Unicode até a versão 14.0. A especificação permite que um adversário produza identificadores de código-fonte, como nomes de funções, usando homóglifos que são renderizados visualmente idênticos a um identificador alvo. Os adversários podem aproveitar isso para injetar código por meio de definições de identificadores adversariais em dependências de software upstream invocadas de forma enganosa em software downstream. NOTA: o Unicode Consortium oferece a seguinte abordagem alternativa para apresentar essa preocupação. Um problema é observado na natureza do texto internacional que pode afetar aplicações que implementam suporte ao Padrão Unicode (todas as versões). A menos que seja mitigado, um adversário poderia produzir identificadores de código-fonte usando caracteres homóglifos que são renderizados visualmente idênticos a, mas distintos de, um identificador alvo. Dessa forma, um adversário poderia injetar definições de identificadores adversariais em software upstream que não são detectadas por revisores humanos e são invocadas de forma enganosa em software downstream. O Unicode Consortium documentou essa classe de vulnerabilidade de segurança em seu documento, Unicode Technical Report #36, Unicode Security Considerations. O Unicode Consortium também fornece orientações sobre mitigações para essa classe de problemas no Unicode Technical Standard #39, Unicode Security Mechanisms.

• CVE-2021-42574_and_CVE-2021-42694Pesquisa

  Demonstração e documentação das CVE-2021-42574 e CVE-2021-42694, vulnerabilidades do algoritmo bidirecional Unicode que permitem manipulação invisível de código-fonte.