{"id":115448,"date":"2024-04-30T13:53:09","date_gmt":"2024-04-30T11:53:09","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/uyazvimost-v-realizaczii-yazyka-r-pozvolyayushhaya-vypolnit-kod-pri-obrabotke-fajlov-rds-i-rdx"},"modified":"2024-04-30T13:53:09","modified_gmt":"2024-04-30T11:53:09","slug":"uyazvimost-v-realizaczii-yazyka-r-pozvolyayushhaya-vypolnit-kod-pri-obrabotke-fajlov-rds-i-rdx","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/news\/uyazvimost-v-realizaczii-yazyka-r-pozvolyayushhaya-vypolnit-kod-pri-obrabotke-fajlov-rds-i-rdx","title":{"rendered":"Eine Schwachstelle in der Implementierung der Programmiersprache R, die es erm\u00f6glicht, Code bei der Verarbeitung von Dateien im Format rds und rdx auszuf\u00fchren.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
In der Hauptimplementierung der Programmiersprache R, die auf die L\u00f6sung von Aufgaben zur statistischen Verarbeitung, Analyse und Visualisierung von Daten ausgerichtet ist, wurde eine kritische Sicherheitsanf\u00e4lligkeit (CVE-2024-27322) entdeckt, die zur Ausf\u00fchrung von Code bei der Deserialisierung von nicht \u00fcberpr\u00fcften Daten f\u00fchrt. Die Schwachstelle kann bei der Verarbeitung speziell gestalteter Dateien in den Formaten RDS (R Data Serialization) und RDX, die f\u00fcr den Datenaustausch zwischen Anwendungen verwendet werden, ausgenutzt werden. Das Problem wurde in der Version R 4.4.0 behoben. Informationen \u00fcber Paketaktualisierungen in den Distributionen k\u00f6nnen auf den Seiten von Debian, Ubuntu, RHEL, SUSE\/openSUSE, Fedora, Arch und FreeBSD abgerufen werden. <\/p>\n
Die Sicherheitsanf\u00e4lligkeit ist das Ergebnis der Funktionsweise der Funktion readRDS, die zum Laden von Dateien in den Formaten RDS und RDX verwendet wird, die das \u00dcbertragen von serialisierten R-Objekten zur Verarbeitung auf einem anderen System erm\u00f6glichen. Die Serialisierung erm\u00f6glicht es, den Zustand zu fixieren und Datens\u00e4tze zwischen Programmen auszutauschen. Das RDS-Format erlaubt es, den Zustand eines einzelnen Objekts zu speichern, w\u00e4hrend das RDX-Format in Kombination mit RDB-Dateien die \u00dcbertragung von Informationen \u00fcber mehrere Objekte erm\u00f6glicht. Das Problem h\u00e4ngt damit zusammen, dass das RDS-Format den Objekttyp PROMSXP unterst\u00fctzt, der mit dem Typ Promise verbunden ist und zur Definition von Ausdr\u00fccken verwendet wird, die asynchron aufgerufen werden, w\u00e4hrend die zugeh\u00f6rigen Werte verwendet werden. <\/p>\n
Bei der Deserialisierung werden zur Bestimmung des Promise-Objekts drei Komponenten verwendet \u2013 der Wert des Promise, der Ausdruck und die Umgebung. Wenn f\u00fcr den Typ Promise kein vorher berechneter Wert angegeben ist, wird dieser w\u00e4hrend der Deserialisierung durch die Auswertung des Ausdrucks mit der Funktion \u201eeval\u201c berechnet. Auf diese Weise kann ein Angreifer die Ausf\u00fchrung willk\u00fcrlichen Codes in der Sprache R erreichen, indem er diesen anstelle des mit nicht berechneten Werten in den RDS- oder RDX-Dateien verbundenen Ausdrucks einf\u00fcgt. \n Quelle: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"