Trojan Source
ટ્રોજન સોર્સ એ સોફ્ટવેર નબળાઈનું નામ છે જે સ્રોત કોડના વાસ્તવિક અમલ કરતાં અલગ રીતે સ્રોત કોડ પ્રદર્શિત કરવા માટે યુનિકોડના દ્વિદિશાત્મક અક્ષરોનો દુરુપયોગ કરે છે. શોષણનો ઉપયોગ કેવી રીતે વાંચનની વિવિધ દિશાઓની લેખન સ્ક્રિપ્ટો કમ્પ્યુટર પર પ્રદર્શિત અને એન્કોડ કરવામાં આવે છે તેનો ઉપયોગ કરે છે. તેની શોધ 2021ના અંતમાં કેમ્બ્રિજ યુનિવર્સિટીમાં નિકોલસ બાઉચર અને રોસ એન્ડરસન દ્વારા કરવામાં આવી હતી. બેકગ્રાઉન્ડ યુનિકોડ એ લખાણ, પ્રતીકો અને ગ્લિફ્સનું પ્રતિનિધિત્વ કરવા માટેનું એન્કોડિંગ ધોરણ છે. યુનિકોડ એ કોમ્પ્યુટર પર સૌથી પ્રબળ એન્કોડિંગ છે, જેનો ઉપયોગ 98 ટકાથી વધુ વેબસાઇટ્સમાં થાય છે. તે ઘણી ભાષાઓને ટેકો આપે છે, અને આ કારણે, તે લખાણ લખવાની વિવિધ પદ્ધતિઓને ટેકો આપવો આવશ્યક છે. આના માટે અંગ્રેજી અને રશિયન જેવી ડાબીથી જમણી બંને ભાષાઓ અને હિબ્રુ અને અરબી જેવી જમણીથી ડાબી ભાષાઓ માટે સમર્થનની જરૂર છે. યુનિકોડનો ઉદ્દેશ એકથી વધુ લેખન પદ્ધતિનો ઉપયોગ કરીને ઉકેલ લાવવાનો હોવાથી, તે વિવિધ ડિસ્પ્લે ઓર્ડર સાથે સ્ક્રિપ્ટ્સને મિશ્રિત કરવામાં અને વિરોધાભાસી ઓર્ડરને ઉકેલવામાં સક્ષમ હોવા જોઈએ. આને ઠીક કરવા માટે, યુનિકોડમાં દ્વિદિશ અક્ષરો (બિડી) તરીકે ઓળખાતા અક્ષરો છે જે વર્ણવે છે કે લખાણ કેવી રીતે પ્રદર્શિત થાય છે અને રજૂ થાય છે. આ અક્ષરોને દૃષ્ટિની રીતે બદલ્યા વિના લખાણનું અર્થઘટન કેવી રીતે કરવામાં આવે છે તે બદલવા માટે આ પાત્રોનો દુરુપયોગ થઈ શકે છે, કારણ કે અક્ષરો ઘણીવાર અદ્રશ્ય હોય છે. પદ્ધતિ શોષણમાં, સ્રોત કોડમાં લખાણને દૃષ્ટિની રીતે ફરીથી ક્રમબદ્ધ કરવા માટે દ્વિદિશાત્મક અક્ષરોનો દુરુપયોગ કરવામાં આવે છે જેથી પછીથી અમલ અલગ ક્રમમાં થાય. દ્વિદલીય અક્ષરોને સ્રોત કોડના વિસ્તારોમાં દાખલ કરી શકાય છે જ્યાં શબ્દમાળા અક્ષરોને મંજૂરી છે. આ ઘણીવાર દસ્તાવેજીકરણ, ચલ અથવા ટિપ્પણીઓને લાગુ પડે છે. ઉપરોક્ત ઉદાહરણમાં, આર. એલ. આઈ. ચિહ્ન (જમણેથી ડાબે અલગ) નીચેના લખાણને વિપરીત ક્રમમાં અર્થઘટન કરવા માટે દબાણ કરે છેઃ ટ્રિપલ-કોટ પ્રથમ (શબ્દમાળાને સમાપ્ત કરે છે), ત્યારબાદ અર્ધવિરામ (નવી રેખા શરૂ કરે છે), અને અંતે અકાળ વળતર સાથે (તેના નીચેના કોઈપણ કોડને પરત કરીને અને અવગણીને). નવી રેખા આર. એલ. આઈ. ચિહ્નને સમાપ્ત કરે છે, જે તેને નીચેના કોડમાં વહેતા અટકાવે છે. બિડી અક્ષરને કારણે, કેટલાક સ્રોત કોડ સંપાદકો અને IDEs કોડને ફરીથી ગોઠવવામાં આવ્યો છે તે કોઈપણ દ્રશ્ય સંકેત વિના પ્રદર્શન માટે કોડને ફરીથી ગોઠવે છે, તેથી માનવ કોડ સમીક્ષક સામાન્ય રીતે તેમને શોધી શકશે નહીં. જો કે, જ્યારે કમ્પાઇલરમાં કોડ દાખલ કરવામાં આવે છે, ત્યારે કમ્પાઇલર બિડી ચારને અવગણી શકે છે અને અક્ષરોને દૃષ્ટિની રીતે પ્રદર્શિત કરતા અલગ ક્રમમાં પ્રક્રિયા કરી શકે છે. જ્યારે કમ્પાઇલર સમાપ્ત થાય છે, ત્યારે તે સંભવિત રીતે કોડને એક્ઝિક્યુટ કરી શકે છે જે દૃષ્ટિની રીતે બિન-એક્ઝેક્યુટેબલ હોવાનું જણાય છે. જટિલ હુમલાઓ બનાવવા માટે ફોર્મેટિંગ માર્ક્સને ઘણી વખત જોડી શકાય છે. અસર અને શમન પ્રોગ્રામિંગ ભાષાઓ કે જે યુનિકોડ શબ્દમાળાઓને ટેકો આપે છે અને યુનિકોડના બિડી અલ્ગોરિધમને અનુસરે છે તે શોષણ માટે સંવેદનશીલ છે. આમાં જાવા, ગો, સી, સી + +, સી #, પાયથોન અને જાવાસ્ક્રિપ્ટ જેવી ભાષાઓનો સમાવેશ થાય છે. જ્યારે હુમલો કડક રીતે ભૂલ નથી, ઘણા સંકલનકારો, દુભાષિયાઓ અને વેબસાઇટોએ શોષણ માટે ચેતવણીઓ અથવા શમન ઉમેર્યું છે. જી. એન. યુ. જી. સી. સી. અને એલ. એલ. વી. એમ. બંનેને શોષણનો સામનો કરવા માટે વિનંતીઓ મળી હતી. મારેક પોલેસિકે શોષણ પ્રકાશિત થયાના થોડા સમય પછી જીસીસીને એક પેચ સુપરત કર્યો હતો જેણે સંભવિત અસુરક્ષિત દિશાસૂચક અક્ષરો માટે ચેતવણી લાગુ કરી હતી; આ કાર્યક્ષમતાને જીસીસી 12 માટે-Wbidi-cars ફ્લેગ હેઠળ મર્જ કરવામાં આવી હતી. એલ. એલ. વી. એમ. એ પણ સમાન પેચોને ભેળવી દીધા. રસ્ટે મૂળભૂત રીતે અક્ષરોનો સમાવેશ કરતા કોડને નકારીને, 1.56.1 માં શોષણને ઠીક કર્યું. રસ્ટના વિકાસકર્તાઓને ફિક્સ પહેલાં કોઈ સંવેદનશીલ પેકેજો મળ્યા ન હતા. રેડ હેટે તેમની વેબસાઇટ પર એક એડવાઇઝરી જારી કરી હતી, જેમાં શોષણને "મધ્યમ" તરીકે લેબલ કરવામાં આવ્યું હતું. ગિટહબે તેમના બ્લોગ પર ચેતવણી જાહેર કરી હતી, તેમજ જ્યારે ભંડારના કોડમાં બિડી અક્ષરો મળી આવે ત્યારે સંવાદ બોક્સ બતાવવા માટે વેબસાઇટને અપડેટ કરી હતી. સંદર્ભો શોધકો દ્વારા બાહ્ય લિંક્સ https://trojansource.codes સાઇટ, નિકોલસ બાઉચર અને રોસ એન્ડરસન કન્સેપ્ટ કોડનો પુરાવો ટ્રોજન સોર્સ સંપૂર્ણ સંશોધન પેપર NIST રાષ્ટ્રીય નબળાઈ ડેટાબેઝ અને CVE સામાન્ય નબળાઈઓ અને એક્સપોઝર CVE-2021-42574-NIST & CVE (BIDI શોષણ) CVE-2021-42694-NIST & CVE (હોમોગ્લિફ હુમલો) યુએએક્સ 9 યુનિકોડ કન્સોર્ટિયમમાંથી દ્વિદિશાત્મક અક્ષરો વિશે અને યુનિકોડ કન્સોર્ટિયમમાંથી યુટીઆર 36 ને ફોર્મેટ કરવા વિશે, જે યુનિકોડ CERT/CC નબળાઈ અહેવાલ 2021 માં નબળાઈનું વર્ણન કરે છે.