Уязвимост в реализацията на езика R, позволяваща изпълнение на код при обработка на файлове rds и rdx

В основната реализация на програмния език R, насочен към решаване на задачи за статистическа обработка, анализ и визуализация на данни, е открита критична уязвимост (CVE-2024-27322), която позволява изпълнение на код при десериализация на непроверени данни. Уязвимостта може да се експлоатира при обработка на специално форматирани файлове в RDS (R Data Serialization) и RDX, използвани за обмен на данни между приложения. Проблемът е отстранен в версия R 4.4.0. Можете да следите издаването на актуализации на пакетите в дистрибуции на страниците на Debian, Ubuntu, RHEL, SUSE/openSUSE, Fedora, Arch, FreeBSD.

Уязвимостта е резултат от особеностите на функцията readRDS, използвана за зареждане на файлове в форматите RDS и RDX, които позволяват предаване на сериализирани R обекти за обработка на друга система. Сериализацията дава възможност да се фиксира състоянието и да се обменят набори от данни между програми. Форматът RDS позволява съхраняване на състоянието на един обект, а форматът RDX, в комбинация с файлове RDB, позволява предаване на информация за няколко обекта. Проблемът е свързан с това, че форматът RDS поддържа обектния код PROMSXP, свързан с типа Promise, който се използва за определяне на изрази, извиквани асинхронно, докато се използват свързаните с тях стойности.

По време на десериализацията за определяне на обекта Promise се използват три компонента — стойността на Promise, изразът и контекстът. Ако за типа Promise не е зададена предварително изчислена стойност, тя се изчислява при десериализацията чрез изпълнение на израза с помощта на функцията «eval». По този начин атакуващият може да постигне изпълнението на произволен код на езика R, като постави свой собствен израз вместо свързаните с неизчислени стойности в RDS или RDX файловете.

Източник: opennet.ru