Nachdem die kritische Lücke Trojan Source veröffentlicht wurde habe auch ich geprüft, ob die sQLshell oder dWb+ dadurch verwundbar wären.

Die sQLshell erlaubt es, SQL-Statements an eine Datenbank zur Verarbeitung zu schicken. Daher stellt sich die Frage, ob man entsprechende Versuche der Manipulation mit eingestreutwen BiDi-Unicodes erkennen könnte. Der folgende Screenshot zeigt, dass diese Codes in der sQLshell als Pseudozeichen dargestellt und nicht interpretiert werden. Man vergleiche auch mit dem nächsten Screenshot, der denselbemn Inhalt in Gedit zeigt:

SQL-Script in sQLshell

SQL-Script in Gedit 2.36.2

Das hier gesagte gilt nicht nur für den in der sQLshell eingebauten SQL-Editor, sondern selbstverständlich auch für das Plugin, das die sQLShell um einen MDI-Editor für SQL-Skripte erweitert.

Die sQLshell verfügt - genau wie dWb+ auch über einen Java-MDI-Editor, realisiert ebenfalls als Plugin. Diese Plugins sollen hauptsächlich bei der Erstellung von BeanShell-Skripten unterstützen.

Wie man im nächsten Screenshot sieht, werden die eingestreuten Control-Characters hier zwar nicht als Pseudozeichen hervorgehoben, allerdings arbeitet zumindest das Syntax-Highlighting korrekt und markiert die gesamte Zeile 5 als auskommentiert.

Java-Beispiel in Java-MDI-Plugin-Editor

Hierin gleicht es Gedit - auch diese Anwendung weist durch das Syntax-Highlighting darauf hin, dass hier etwas nicht stimmt...

Es existiert noch ein weiteres Plugin, das derzeit nicht - oder nur mit äußerster Vorsicht benutzt werden sollte: BeanShellREPL.

Hier wird die Beanshell-Konsole in die Anwendung eingebunden, um schnell per BeanShell Statements zur Ausführung absenden zu können. Diese Konsole arbeitet ohne jegliches Syntax-Highlighting und der problematisache Code ist - da auch die Control-Characters komplett unsichtbar bleiben - nicht als problematisch erkennbar:

Java-Beispiel in BeanShell-Konsole

Daran ändert auch die Verwendung der aktuellsten auf GitHub verfügbaren SNAPSHOT-Version nichts, wie man im folgenden Screenshot erkennen kann:

Java-Beispiel in BeanShell-Konsole Version 3.0.0-SNAPSHOT

Ich habe daher ein entsprechendes Ticket eingestellt.

Artikel, die hierher verlinken