{"id":115448,"date":"2024-04-30T13:53:09","date_gmt":"2024-04-30T11:53:09","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/uyazvimost-v-realizaczii-yazyka-r-pozvolyayushhaya-vypolnit-kod-pri-obrabotke-fajlov-rds-i-rdx"},"modified":"2024-04-30T13:53:09","modified_gmt":"2024-04-30T11:53:09","slug":"uyazvimost-v-realizaczii-yazyka-r-pozvolyayushhaya-vypolnit-kod-pri-obrabotke-fajlov-rds-i-rdx","status":"publish","type":"post","link":"https:\/\/prohoster.info\/fr\/blog\/news\/uyazvimost-v-realizaczii-yazyka-r-pozvolyayushhaya-vypolnit-kod-pri-obrabotke-fajlov-rds-i-rdx","title":{"rendered":"Vuln\u00e9rabilit\u00e9 dans l'impl\u00e9mentation du langage R permettant d'ex\u00e9cuter du code lors du traitement de fichiers rds et rdx","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Dans l'impl\u00e9mentation principale du langage de programmation R, ax\u00e9 sur la r\u00e9solution de probl\u00e8mes de traitement statistique, d'analyse et de visualisation des donn\u00e9es, une vuln\u00e9rabilit\u00e9 critique (CVE-2024-27322) a \u00e9t\u00e9 d\u00e9tect\u00e9e, entra\u00eenant l'ex\u00e9cution de code lors de la d\u00e9s\u00e9rialisation de donn\u00e9es non v\u00e9rifi\u00e9es. Cette vuln\u00e9rabilit\u00e9 peut \u00eatre exploit\u00e9e lors du traitement de fichiers sp\u00e9cialement format\u00e9s en RDS (R Data Serialization) et RDX, utilis\u00e9s pour l'\u00e9change de donn\u00e9es entre applications. Le probl\u00e8me a \u00e9t\u00e9 r\u00e9solu dans la version R 4.4.0. Vous pouvez suivre la publication de mises \u00e0 jour des paquets dans les distributions sur les pages Debian, Ubuntu, RHEL, SUSE\/openSUSE, Fedora, Arch, FreeBSD. <\/p>\n
La vuln\u00e9rabilit\u00e9 est caus\u00e9e par la mani\u00e8re dont fonctionne la fonction readRDS, utilis\u00e9e pour charger des fichiers aux formats RDS et RDX, qui permettent de transf\u00e9rer des objets R s\u00e9rialis\u00e9s pour traitement sur un autre syst\u00e8me. La s\u00e9rialisation permet de capturer des \u00e9tats et d'\u00e9changer des ensembles de donn\u00e9es entre programmes. Le format RDS permet de stocker l'\u00e9tat d'un seul objet, tandis que le format RDX, combin\u00e9 avec des fichiers RDB, permet de transmettre des informations sur plusieurs objets. Le probl\u00e8me est li\u00e9 au fait que le format RDS prend en charge le code objet PROMSXP, associ\u00e9 au type Promise, qui est utilis\u00e9 pour d\u00e9finir des expressions appel\u00e9es de mani\u00e8re asynchrone lors de l'utilisation de valeurs qui leur sont associ\u00e9es. <\/p>\n
Lors de la d\u00e9s\u00e9rialisation, trois \u00e9l\u00e9ments sont utilis\u00e9s pour d\u00e9terminer un objet Promise : la valeur du Promise, l'expression et l'environnement. Si aucune valeur pr\u00e9alablement calcul\u00e9e n'est sp\u00e9cifi\u00e9e pour le type Promise, celle-ci est calcul\u00e9e lors de la d\u00e9s\u00e9rialisation par l'ex\u00e9cution de l'expression \u00e0 l'aide de la fonction \u00ab eval \u00bb. Ainsi, un attaquant peut induire l'ex\u00e9cution de code arbitraire dans le langage R en le substituant \u00e0 l'expression li\u00e9e \u00e0 des valeurs non calcul\u00e9es dans les fichiers RDS ou RDX. \n Source : opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"