{"id":115448,"date":"2024-04-30T13:53:09","date_gmt":"2024-04-30T11:53:09","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/uyazvimost-v-realizaczii-yazyka-r-pozvolyayushhaya-vypolnit-kod-pri-obrabotke-fajlov-rds-i-rdx"},"modified":"2024-04-30T13:53:09","modified_gmt":"2024-04-30T11:53:09","slug":"uyazvimost-v-realizaczii-yazyka-r-pozvolyayushhaya-vypolnit-kod-pri-obrabotke-fajlov-rds-i-rdx","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/news\/uyazvimost-v-realizaczii-yazyka-r-pozvolyayushhaya-vypolnit-kod-pri-obrabotke-fajlov-rds-i-rdx","title":{"rendered":"Eine Schwachstelle in der Implementierung der Programmiersprache R, die die Ausf\u00fchrung von Code beim Verarbeiten von rds- und rdx-Dateien erm\u00f6glicht.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
In der Hauptimplementierung der Programmiersprache R, die auf die L\u00f6sung von Aufgaben in der statistischen Datenbearbeitung, Analyse und Visualisierung ausgerichtet ist, wurde eine kritische Schwachstelle (CVE-2024-27322) entdeckt, die zur Ausf\u00fchrung von Code beim Deserialisieren nicht \u00fcberpr\u00fcfter Daten f\u00fchrt. Die Schwachstelle kann beim Verarbeiten speziell gestalteter Dateien in den Formaten RDS (R Data Serialization) und RDX, die zum Datenaustausch zwischen Anwendungen verwendet werden, ausgenutzt werden. Das Problem wurde mit der Version R 4.4.0 behoben. Informationen zu den Aktualisierungen der Pakete in den Distributionen finden Sie auf den Seiten von Debian, Ubuntu, RHEL, SUSE\/openSUSE, Fedora, Arch und FreeBSD. <\/p>\n
Die Schwachstelle wird durch ein spezifisches Verhalten der Funktion readRDS verursacht, die zum Laden von Dateien in den Formaten RDS und RDX verwendet wird und die es erm\u00f6glicht, serialisierte R-Objekte zur Bearbeitung auf ein anderes System zu \u00fcbertragen. Die Serialisierung erm\u00f6glicht es, den Zustand zu speichern und Datens\u00e4tze zwischen Programmen auszutauschen. Das RDS-Format erm\u00f6glicht die Speicherung des Zustands eines einzelnen Objekts, w\u00e4hrend das RDX-Format in Kombination mit RDB-Dateien die \u00dcbertragung von Informationen \u00fcber mehrere Objekte erm\u00f6glicht. Das Problem h\u00e4ngt damit zusammen, dass das RDS-Format den Objektcode PROMSXP unterst\u00fctzt, der mit dem Typ Promise verbunden ist und zur Definition von Ausdr\u00fccken verwendet wird, die asynchron w\u00e4hrend der Nutzung der zugeh\u00f6rigen Werte aufgerufen werden. <\/p>\n
Bei der Deserialisierung werden drei Komponenten zur Bestimmung des Promise-Objekts verwendet \u2014 der Wert des Promise, der Ausdruck und die Umgebung. Wenn f\u00fcr den Typ Promise kein vorher berechneter Wert angegeben ist, wird dieser bei der Deserialisierung durch die Ausf\u00fchrung des Ausdrucks mittels der Funktion \u201eeval\u201c berechnet. Auf diese Weise kann ein Angreifer die Ausf\u00fchrung beliebigen Codes in der Sprache R erreichen, indem er diesen anstelle des Ausdrucks einf\u00fcgt, der mit nicht berechneten Werten in RDS- oder RDX-Dateien verkn\u00fcpft ist. \n Quelle: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"