{"id":27870,"date":"2021-11-23T14:23:20","date_gmt":"2021-11-23T12:23:20","guid":{"rendered":"https:\/\/www.kaspersky.nl\/blog\/?p=27870"},"modified":"2022-05-05T14:48:03","modified_gmt":"2022-05-05T12:48:03","slug":"trojan-source","status":"publish","type":"post","link":"https:\/\/www.kaspersky.nl\/blog\/trojan-source\/27870\/","title":{"rendered":"Onzichtbare implantaten in broncode"},"content":{"rendered":"

Experts van de Universiteit van Cambridge hebben een kwetsbaarheid beschreven<\/a> die volgens hen de meeste moderne computers treft. Een nieuwe aanvalsmethode maakt gebruik van een legitieme functie van ontwikkelingstools, waarbij de broncode \u00e9\u00e9n ding weergeeft, maar iets heel anders compileert. Dit gebeurt door de magie van Unicode-stuurtekens.<\/p>\n

\"\"

Directionele Unicode-opmaaktekens die relevant zijn voor herordeningsaanvallen. Source<\/a>.<\/p><\/div>\n

Meestal verschijnen stuurtekens niet samen met de rest van de code op het scherm (hoewel sommige editors ze wel tonen), maar ze wijzigen de tekst op de een of andere manier. Deze tabel<\/a> bevat bijvoorbeeld de codes voor het Unicode Bidirectional (bidi) Algorithm.<\/p>\n

Zoals u waarschijnlijk weet, worden sommige menselijke talen van links naar rechts geschreven (bijv. Engels en Nederlands), en andere van rechts naar links (bijv. Arabisch). Wanneer de code slechts \u00e9\u00e9n taal bevat, is dat geen probleem, maar wanneer dat nodig is \u2013 bijvoorbeeld wanneer \u00e9\u00e9n regel woorden in het Engels en in het Arabisch bevat \u2013 geven bidi-codes de tekstrichting aan.<\/p>\n

In het werk van de auteurs gebruikten ze dergelijke codes om bijvoorbeeld het eindpunt van commentaar in Python-code van het midden van een regel naar het einde te verplaatsen. Ze pasten een RLI-code toe om slechts enkele tekens te verschuiven, en lieten de rest ongemoeid.<\/p>\n

\"\"

Voorbeeld van kwetsbare Python-code met gebruik van bidi-codes. Source<\/a>.<\/p><\/div>\n

Rechts staat de versie die programmeurs zien als ze de broncode controleren; links laat zien hoe de code zal worden uitgevoerd. De meeste compilers negeren stuurtekens. Iedereen die de code controleert zal denken dat de vijfde regel een onschuldig commentaar is, hoewel er in werkelijkheid een early-return statement <\/em>in verborgen zit, wat ervoor zorgt dat het programma de bewerking overslaat die het geld van de bankrekening debiteert. Met andere woorden, in dit voorbeeld zal het gesimuleerde bankprogramma geld uitgeven, maar het rekeningsaldo niet verminderen.<\/p>\n

Waarom is dit gevaarlijk?<\/h2>\n

Op het eerste gezicht lijkt deze kwetsbaarheid te simpel. Wie zou er nou onzichtbare tekens invoegen, in de hoop controleurs van broncode te misleiden? Toch werd het probleem ernstig genoeg geacht om een kwetsbaarheidsidentificatie te rechtvaardigen (CVE-2021-42574<\/a>). Alvorens het artikel te publiceren, hebben de auteurs de ontwikkelaars van de meest gebruikte compilers op de hoogte gebracht, zodat zij de tijd hadden om patches voor te bereiden.<\/p>\n

Het rapport beschrijft de eenvoudigste aanvalsmogelijkheden. De twee uitvoeringsstrategie\u00ebn zijn het verbergen van een commando binnen het commentaar, en het verbergen van iets in een regel die, bijvoorbeeld, op het scherm verschijnt. Het is in theorie mogelijk het tegenovergestelde effect te bereiken: code maken die op een commando lijkt, maar in feite deel uitmaakt van een commentaar en niet zal worden uitgevoerd. Er zullen ongetwijfeld nog creatievere methoden bestaan om deze kwetsbaarheid uit te buiten.<\/p>\n

Iemand zou de truc bijvoorbeeld kunnen gebruiken om een geraffineerde aanval op de supply chain uit te voeren, waarbij een opdrachtnemer een bedrijf code levert die er correct uitziet, maar niet werkt zoals de bedoeling was. Vervolgens, nadat het eindproduct is vrijgegeven, kan een externe partij de \u201calternatieve functionaliteit\u201d gebruiken om klanten aan te vallen.<\/p>\n

Hoe gevaarlijk is dit nou echt?<\/h2>\n

Kort na de publicatie van het artikel bekritiseerde programmeur Russ Cox de Trojan Source-aanval. Hij was op zijn zachtst gezegd niet onder de indruk. Dit waren zijn argumenten:<\/p>\n