CVE-2021-22567mediumCWE-284

CVE-2021-22567: falha de média gravidade em Google LLC Dart SDK

Bidirectional Override in Dart SDK

Publicada em · Atualizada em

Seguir esta CVE+ Monitorar Dart SDK

Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.

13Vexday Risk Score

Sem sinal de exploração. Nenhum artefato público de exploração conhecido até agora.

ssvc Trackcvss 4.6epss 0.6%
Em resumo

O SDK do Dart não trata corretamente caracteres Unicode especiais que invertem a direção do texto, permitindo que atacantes escondam código malicioso em arquivos que parecem inofensivos para revisores. Esse truque consegue enganar verificações de segurança porque o código aparenta ser seguro quando visualizado normalmente.

Detalhe técnico

Caracteres especiais de inversão bidirecional de Unicode (CWE-284) no código-fonte Dart podem ser compilados em comportamento executável diferente do que é renderizado visualmente nos editores, possibilitando ao atacante injetar lógica oculta que burla a revisão de código. A vulnerabilidade requer acesso ao código-fonte e desatenção do revisor, resultando em execução arbitrária de código através de apresentação enganosa da lógica do programa.

Resumo gerado e traduzido por IA a partir da descrição oficial.
Bidirectional Unicode text can be interpreted and compiled differently than how it appears in editors which can be exploited to get nefarious code passed a code review by appearing benign. An attacker could embed a source that is invisible to a code reviewer that modifies the behavior of a program in unexpected ways.
CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:U/C:N/I:L/A:L
Produtos afetados
Google LLC · Dart SDK
CVEs relacionadas — Google LLC Dart SDK

No mesmo produto, das mais perigosas para as menos.

CVE-2022-0451MEDIUMAuth bypass in Dark SDKEPSS 1.0%CVE-2021-22568HIGHDart - Publishing to third-party package repositories may expose pub.dev credentialsEPSS 0.9%CVE-2021-22540—XSS in Dart SDKEPSS 0.7%