資訊專欄INFORMATION COLUMN
摘要：利用技術研究人員表示至少有種不同的技術可以利用源代碼標記的視覺重新排序。而作為商業軟件供應商需要滿足的關鍵要點，是確保軟件供應鏈安全，保證源代碼安全性及完整性，定期對應用程序進行安全測試和修復，確保軟件源組件及開源框架等來源安全可信。
盡管 CVE 計劃尚未為此漏洞分配嚴重性，但其云、服務器和數據中心產品受該漏洞影響的Atlassian 已根據Atlassian 嚴重性級別將其嚴重性評為“高” 。但紅帽產品安全部門根據其CVSS v3嚴重性指標，將此漏洞評為具有中等安全影響。
研究人員表示至少有3種不同的技術可以利用源代碼標記的視覺重新排序。
1-早期返回：在早期返回利用技術中，對手將一個真正的返回語句偽裝成一個注釋或字符串字面量，因此他們可以使一個函數比看起來更早地返回。它通過執行在注釋中顯示的return語句，導致函數短路。
2-注釋掉：在這種漏洞利用技術中，看起來是合法代碼的文本實際上存在于注釋中，因此永遠不會執行。這允許對手向審查者展示一些看起來正在執行但從編譯器或解釋器的角度來看并不存在的代碼。
3-擴展字符串：此漏洞利用導致部分字符串文字在視覺上顯示為代碼?？雌饋碓谧址淖种獾奈谋緦嶋H上位于其中，并且具有與注釋掉相同的效果，從而導致字符串比較失敗。
這些攻擊在 C、C++、C#、JavaScript、Java、Rust、Go 和 Python 編程語言中成功實施概念驗證攻擊，并在Ubuntu上的gcc v7.5.0和MacOS上的Apple clang v12.0.5上成功驗證了這些攻擊。
在上面的例子中，研究人員展示了如何在C++中執行同形文字攻擊。他們使用了兩個看起來相似但實際上不同的 H，藍色的拉丁語H和紅色的西里爾字母Н。當使用clang++編譯時，該程序輸出文本“Goodbye, World!”研究人員表示。
通過這個例子可以看出，“攻擊者可以在導入到目標的全局命名空間的上游包中定義這樣的同形函數，然后從受害者代碼中調用該函數?！?/p>
研究人員建議的最簡單的防御策略是禁止在語言規范和實現這些語言的編譯器中使用文本方向控制字符。為了進一步解釋該策略，他們將其分為三個部分：
支持Unicode的編譯器、解釋器和構建管道需要對注釋或字符串字面量中的未終止雙向控制字符以及帶有混合腳本易混淆字符的標識符顯示錯誤或警告。
語言規范應該正式禁止在注釋和字符串字面量中使用未終止的雙向控制字符。
代碼編輯器和存儲庫前端應該用視覺符號或警告使雙向控制字符和混合腳本易混淆字符具有可辨性。
目前盡管有近20家軟件供應商意識到了這一威脅，但多個編譯器仍無法阻止Trojan Source攻擊方法。由于許多維護者仍在實施補丁，這兩位研究人員建議政府和公司確定他們的供應商，并迫使他們采取必要的防御措施。
目前，維護代碼存儲庫的三家公司目前正在部署針對特洛伊木馬源的防御措施。
目前開源軟件呈現兩個特點，一個是量多另一個是成長速度快。在日常軟件開發中更是離不開開源組件，當今軟件中超過90%的應用程序包含來自第三方庫的代碼。而作為商業軟件供應商需要滿足的關鍵要點，是確保軟件供應鏈安全，保證源代碼安全性及完整性，定期對應用程序進行安全測試和修復，確保軟件源組件及開源框架等來源安全可信。
參讀鏈接：
www.bleepingcomputer.com/news/securi…
thehackernews.com/2021/11/new…
文章版權歸作者所有，未經允許請勿轉載,若此文章存在違規行為，您可以聯系管理員刪除。
轉載請注明本文地址：http://specialneedsforspecialkids.com/yun/122840.html
摘要：據開發者稱，他的帳戶被劫持并用于部署該庫的三個惡意版本。報告指出，惡意軟件包被稱為編目為以及和編目為。研究人員無法完全確定惡意行為者計劃如何針對開發人員。月份網絡攻擊者對進行了加密挖掘攻擊月份發現了加密挖掘惡意軟件。 UA-Parser-JS 項目被劫持安裝惡意軟件 10月22日，攻擊者發布了惡意版本的UA-Parser-JS NPM庫，以在Linux和Windows設備上安裝加...
摘要：插件的開發人員意識到需要重新訪問整個。同時，所有可能被竊取的密鑰都會立即失效，站點所有者被迫生成新的密鑰。聯合創始人表示，該事件凸顯了漏洞管理的復雜性。 雖然/wp-json/omapp/v1/support端點的情況更糟，但它并不是唯一容易被利用的不安全REST-API端點。 WordPress 插件的開發人員意識到需要重新訪問整個API。 因此建議用戶在接下來的幾周內安...
摘要：根據對個安全決策的調查，超過三分之一的外部攻擊是通過利用漏洞進行的，而另外三分之一來自對第三方服務或軟件制造商提供的軟件漏洞進行破壞。 .markdown-body{word-break:break-word;line-height:1.75;font-weight:400;font-size:15px;overflow-x:hidden;color:#333}.markdown-body...
摘要：報告患者門戶被黑，飛利浦揭示安全漏洞，醫療系統軟件安全風險不斷暴露。與此同時，在一個單獨的開發中，醫療技術供應商飛利浦醫療保健和網絡安全和基礎設施安全機構周四各自發布了關于飛利浦電子醫療記錄系統版本及之前中發現的兩個漏洞的安全警告。 .markdown-body{word-break:break-word;line-height:1.75;font-weight:400;font-...
摘要：錯誤是基于堆的緩沖區溢出，它允許任何本地用戶欺騙以模式運行。靜態代碼安全檢測不但可以查找定位代碼缺陷問題，同時還能檢測出一些不需要運行即可發現的問題，如注入漏洞緩沖區溢出等。 .markdown-body{word-break:break-word;line-height:1.75;font-weight:400;font-size:15px;overflow-x:hidden;c...
閱讀 1667·2023-04-26 00:30
閱讀 3144·2021-11-25 09:43
閱讀 2867·2021-11-22 14:56
閱讀 3183·2021-11-04 16:15
閱讀 1137·2021-09-07 09:58
閱讀 2012·2019-08-29 13:14
閱讀 3101·2019-08-29 12:55
閱讀 981·2019-08-29 10:57
