Encoding Confusion: BiDi Control Characters

Los caracteres de control bidireccionales en el código fuente pueden provocar ataques de tipo troyano.

El código fuente que contiene caracteres de control de anulación bidireccional Unicode puede ser signo de un ataque de amenaza interna. Dicho ataque se puede aprovechar a través de la cadena de suministro de lenguajes de programación como C, C++, C#, Go, Java, JavaScript, Python y Rust. Nicholas Boucher y Ross Anderson ya han publicado varias variantes de ataques, incluidas los siguientes: Devoluciones anticipadas, comentarios y cadenas estiradas.
Ejemplo 1: El siguiente código muestra un carácter de control, presente en un archivo de código fuente de C, que lleva a un ataque de devolución anticipada:

#include <stdio.h>

int main() {
	/* Nothing to see here; newline RLI /*/ return 0 ;
	printf("Do we get here?\n");
	return 0;
}

El carácter de control bidireccional Unicode aislante de derecha a izquierda (RLI), en Example 1, hace que el código se vea de la siguiente manera:

#include <stdio.h>

int main() {
	/* Nothing to see here; newline; return 0 /*/
	printf("Do we get here?\n");
	return 0;
}

Cabe destacar que un desarrollador que realiza una revisión de código, en un editor/visor vulnerable, no vería lo que procesa un compilador vulnerable. En concreto, la instrucción de devolución anticipada que modifica el flujo del programa.