CVE-2021-42694

Резюме

Обнаружена проблема в определениях символов Спецификации Unicode вплоть до версии 14.0. Спецификация позволяет злоумышленнику создавать идентификаторы исходного кода, такие как имена функций, с использованием гомоглифов, которые визуально выглядят идентично целевому идентификатору. Злоумышленники могут использовать это для внедрения кода через вредоносные определения идентификаторов в зависимостях вышестоящего программного обеспечения, обманным образом вызываемых в нижестоящем программном обеспечении. ПРИМЕЧАНИЕ: Консорциум Unicode предлагает следующий альтернативный подход к представлению этой проблемы. Отмечается проблема в природе международного текста, которая может затронуть приложения, реализующие поддержку Стандарта Unicode (все версии). Если не принять меры, злоумышленник может создавать идентификаторы исходного кода с использованием символов-гомоглифов, которые визуально выглядят идентично, но отличаются от целевого идентификатора. Таким образом, злоумышленник может внедрить вредоносные определения идентификаторов в вышестоящем программном обеспечении, которые не обнаруживаются людьми-рецензентами и обманным образом вызываются в нижестоящем программном обеспечении. Консорциум Unicode задокументировал этот класс уязвимостей безопасности в своём документе, Технический отчёт Unicode №36, Вопросы безопасности Unicode. Консорциум Unicode также предоставляет рекомендации по мерам смягчения для этого класса проблем в Техническом стандарте Unicode №39, Механизмы безопасности Unicode.

• CVE-2021-42574_and_CVE-2021-42694Исследования

  Демонстрация и документация уязвимостей CVE-2021-42574 и CVE-2021-42694, связанных с алгоритмом двунаправленного текста Unicode, позволяющих невидимо манипулировать исходным кодом.