WorstFit: Aufdeckung versteckter Transformer in Windows ANSI

Der Sicherheitsforscher Orange Tsai enthüllt WorstFit, eine neue Angriffsfläche in Windows. Durch die Ausnutzung der Best-Fit-Zeichensatzkonvertierung nutzt WorstFit unerwartete Transformationen während der UTF-16-zu-ANSI-Konvertierung aus, was zu Pfadtraversal, Argument Injection und sogar Remote Code Execution (RCE) führt. Die unvorhersehbare Natur der Best-Fit-Zuordnungen in verschiedenen Sprachkonfigurationen betrifft zahlreiche bekannte Anwendungen. Die Forschung hebt die Herausforderungen bei der Behebung dieses Problems im Open-Source-Ökosystem hervor und schlägt Abhilfemaßnahmen wie die Verwendung von breitbandigen APIs vor.