R keele teostuse haavatavus, mis võimaldab koodi täitmist rds ja rdx failide töötlemise käigus

R-programmeerimise põhiversioonis, mis on suunatud statistilise töötlemise, andmeanalüüsi ja visualiseerimise probleemide lahendamisele, on avastatud kriitiline haavatavus (CVE-2024-27322), mis viib koodi täitmisele, kui dekodeeritakse kontrollimata andmeid. Haavatavust saab kasutada spetsiaalselt vormindatud failide töötlemisel RDS (R Data Serialization) ja RDX formaatides, mida kasutatakse rakenduste vahel andmevahetuseks. Probleem on lahendatud R 4.4.0 väljal. Pakettide värskenduste väljaandmist saab jälgida Debian, Ubuntu, RHEL, SUSE/openSUSE, Fedora, Arch ja FreeBSD lehtedel.

Haavatavus tuleneb readRDS funktsiooni tööpõhimõttest, mida kasutatakse RDS ja RDX formaatides failide laadimiseks, mis võimaldavad edastada R-sari objekte töötlemiseks teisele süsteemile. Siseerimine võimaldab jäädvustada olekuid ja jagada andmestikke programmidest. RDS formaat võimaldab hoida ühte objekti, samas kui RDX formaat koos RDB failidega võimaldab edastada mitme objekti andmeid. Probleem on seotud sellega, et RDS formaat toetab objekti koodi PROMSXP, mis on seotud Promise tüübiga, mida kasutatakse väljendite määratlemiseks, mis käivitatakse asünkroonselt, kasutades seotud väärtusi.

Dekodeerimise ajal kasutatakse Promise objekti määratlemiseks kolme komponenti - Promise väärtus, väljend ja keskkond. Kui Promise tüübi jaoks ei ole eelnevalt määratud arvutatud väärtust, siis arvutatakse see dekodeerimise käigus väljendi täitmise kaudu funktsiooni „eval“ abil. Seega võib ründaja saavutada, et R keeles täidetakse juhuslik kood, asendades selle väljendiga, mis on seotud arvutamata väärtustega RDS või RDX failides.

Allikas: opennet.ru