WorstFit: Revelando Transformers Ocultos no ANSI do Windows

O pesquisador de segurança Orange Tsai revela o WorstFit, uma nova superfície de ataque no Windows. Explorando o recurso de conversão de charset Best-Fit, o WorstFit utiliza transformações inesperadas durante a conversão de UTF-16 para ANSI, levando a travessia de caminho, injeção de argumento e até mesmo execução remota de código (RCE). A natureza imprevisível dos mapeamentos Best-Fit em diferentes configurações de idioma afeta vários aplicativos conhecidos. A pesquisa destaca os desafios de corrigir isso no ecossistema de código aberto e propõe mitigações como o uso de APIs de caracteres largos.