U glavnoj implementaciji programskog jezika R, orijentiranog na rješavanje zadataka statističke obrade, analize i vizualizacije podataka, otkrivena je kritična ranjivost (CVE-2024-27322) koja dovodi do izvršenja koda prilikom deserializacije neprovjerenih podataka. Ranjivost se može iskoristiti prilikom obrade posebno oblikovanih datoteka u formatima RDS (R Data Serialization) i RDX, koji se koriste za razmjenu podataka između aplikacija. Problem je riješen u izdanju R 4.4.0. Praćenje izdanja ažuriranja paketa u distribucijama može se izvršiti na stranicama Debian, Ubuntu, RHEL, SUSE/openSUSE, Fedora, Arch, FreeBSD.
Ranjivost je uzrokovana osobinom rada funkcije readRDS, koja se koristi za učitavanje datoteka u formatima RDS i RDX, koji omogućuju prijenos serializiranih objekata R za obradu na drugom sustavu. Serializacija omogućuje snimanje stanja i razmjenu skupova podataka između programa. Format RDS omogućuje pohranu stanja o jednom objektu, dok format RDX u kombinaciji s datotekama RDB omogućuje prijenos informacija o više objekata. Problem je povezan s tim što format RDS podržava objektni kod PROMSXP, povezan s tipom Promise, koji se koristi za definiranje izraza pozvanih u asinhronom režimu tijekom korištenja povezanih vrijednosti.
Tijekom deserializacije za određivanje objekta Promise koriste se tri sastavnice — vrijednost Promise, izraz i okruženje. Ako za tip Promise nije zadana prethodno izračunata vrijednost, tada se izračunava tijekom deserializacije putem izvršenja izraza pomoću funkcije „eval”. Tako napadač može postići izvršenje proizvoljnog koda na jeziku R, zamjenjujući ga izrazom povezanim s neizračunatim vrijednostima u datotekama RDS ili RDX.
Izvor: opennet.ru
