Canva - Engineering Blog
·
字体仍然是一个棘手的问题
原文英文，约2500词，阅读约需9分钟。
📝
内容提要
Canva发现字体处理中的安全漏洞，特别是在SVG和XML解析器中。研究指出，字体的复杂性可能导致安全问题，尤其是在处理不受信任的XML文件时。FontForge等工具在处理字体时存在命令注入风险，需加强安全措施。希望未来能有更多关于字体安全的研究。
🎯
关键要点
-
Canva发现字体处理中的安全漏洞，特别是在SVG和XML解析器中。
-
字体的复杂性可能导致安全问题，尤其是在处理不受信任的XML文件时。
-
FontForge等工具在处理字体时存在命令注入风险，需要加强安全措施。
-
SVG表支持为字体中的字形提供SVG定义，但也可能引入安全漏洞。
-
FontTools在处理SVG表时的配置不当可能导致XML外部实体（XXE）漏洞。
-
FontForge在处理归档文件时的命名约定可能导致命令注入漏洞。
-
字体压缩和子集化操作可能引入安全风险，需谨慎处理。
-
希望未来能有更多关于字体安全的研究，以提高安全成熟度。
❓
延伸问答
Canva发现了哪些字体处理中的安全漏洞？
Canva发现了在SVG和XML解析器中存在的字体处理安全漏洞，特别是在处理不受信任的XML文件时。
FontForge在处理字体时存在哪些风险？
FontForge在处理字体时存在命令注入风险，尤其是在处理归档文件时的命名约定可能导致安全问题。
SVG表支持在字体中提供什么功能？
SVG表支持为字体中的字形提供SVG定义，这也是支持颜色字体的几种方式之一。
字体压缩和子集化操作可能引入哪些安全风险？
字体压缩和子集化操作可能导致安全风险，尤其是在处理不受信任的输入时，需要谨慎处理。
未来关于字体安全的研究有什么期望？
希望未来能有更多关于字体安全的研究，以提高安全成熟度。
FontTools在处理SVG表时存在哪些配置问题？
FontTools在处理SVG表时的配置不当可能导致XML外部实体（XXE）漏洞。
🏷️
