{"id":115448,"date":"2024-04-30T13:53:09","date_gmt":"2024-04-30T11:53:09","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/uyazvimost-v-realizaczii-yazyka-r-pozvolyayushhaya-vypolnit-kod-pri-obrabotke-fajlov-rds-i-rdx"},"modified":"2024-04-30T13:53:09","modified_gmt":"2024-04-30T11:53:09","slug":"uyazvimost-v-realizaczii-yazyka-r-pozvolyayushhaya-vypolnit-kod-pri-obrabotke-fajlov-rds-i-rdx","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/news\/uyazvimost-v-realizaczii-yazyka-r-pozvolyayushhaya-vypolnit-kod-pri-obrabotke-fajlov-rds-i-rdx","title":{"rendered":"Vulnerabilit\u00e0 nell'implementazione del linguaggio R che consente di eseguire codice durante l'elaborazione dei file rds e rdx","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Nella versione principale del linguaggio di programmazione R, focalizzato sulla risoluzione di problemi relativi all'analisi statistica, all'analisi e alla visualizzazione dei dati, \u00e8 stata identificata una vulnerabilit\u00e0 critica (CVE-2024-27322) che porta all'esecuzione di codice durante la deserializzazione di dati non controllati. Questa vulnerabilit\u00e0 pu\u00f2 essere sfruttata durante l'elaborazione di file appositamente formattati nei formati RDS (R Data Serialization) e RDX, utilizzati per lo scambio di dati tra applicazioni. Il problema \u00e8 stato risolto nella versione R 4.4.0. \u00c8 possibile monitorare gli aggiornamenti dei pacchetti nelle distribuzioni sulle pagine di Debian, Ubuntu, RHEL, SUSE\/openSUSE, Fedora, Arch, FreeBSD. <\/p>\n
La vulnerabilit\u00e0 \u00e8 causata dalle peculiarit\u00e0 del funzionamento della funzione readRDS, utilizzata per caricare file nei formati RDS e RDX, che consentono di trasferire oggetti R serializzati per l'elaborazione su un altro sistema. La serializzazione consente di salvare lo stato e scambiare set di dati tra programmi. Il formato RDS consente di memorizzare lo stato di un singolo oggetto, mentre il formato RDX combinato con i file RDB consente di trasferire informazioni su pi\u00f9 oggetti. Il problema \u00e8 legato al fatto che il formato RDS supporta il codice oggetto PROMSXP, associato al tipo Promise, utilizzato per definire espressioni chiamate in modo asincrono durante l'uso dei valori associati. <\/p>\n
Durante la deserializzazione, per determinare un oggetto Promise vengono utilizzati tre componenti: il valore Promise, l'espressione e l'ambiente. Se per il tipo Promise non \u00e8 stato precedentemente definito un valore calcolato, questo viene calcolato durante la deserializzazione tramite l'esecuzione dell'espressione utilizzando la funzione \u00abeval\u00bb. In questo modo, un attaccante pu\u00f2 forzare l'esecuzione di codice arbitrario nel linguaggio R, sostituendolo con l'espressione associata ai valori non calcolati nei file RDS o RDX. \n Fonte: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"