GitHub Diffの脆弱性：Unicode文字置換の悪用
2025-05-17
curlプロジェクトの貢献者であるJames Fullerが、GitHubのdiffビューアにおける脆弱性を発見しました。悪意のある攻撃者は、視覚的に同一のUnicode文字でASCII文字を置き換えることで、コードを気付かれずに変更できます。これにより、URLの改ざんなど、深刻な結果につながる可能性があります。GitHubのdiffビューアは警告を出さなかったものの、Giteaなどの他のプラットフォームはこうした変更を指摘しました。curlプロジェクトは、悪意のあるUnicode文字を検出するためのCIチェックを実装し、UTF-8シーケンスをクリーンアップすることで対応しました。これは、潜在的な攻撃を防止するための積極的なコードセキュリティ対策の必要性を強調しています。
開発
GitHubの脆弱性