Trojan Source

[beldmit]

Каждой атаке положен официальный сайт. Вот, например.

Если использовать уникодные символы управления направлением вывода текста (слева направо интерпретировать кусок текста или справа налево), то можно добиться эффекта, когда человек, который ревьюит pull-request, увидит одно, а компилятор - совсем другое.

Comments

[juan_gandhi]

Чудесно! Непонятно, что делать.

[gegmopo4]

Да, в закрытых рассылках обсуждалось с июля. Пока что решение — улучшать тулзы (линтеры, редакторы, вьюверы) и быть внимательнее при приёме патчей содержащих не-ASCII. Со временем будут ограничения в спецификациях языков. Интересно, но не критично.