{"id":115448,"date":"2024-04-30T13:53:09","date_gmt":"2024-04-30T11:53:09","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/uyazvimost-v-realizaczii-yazyka-r-pozvolyayushhaya-vypolnit-kod-pri-obrabotke-fajlov-rds-i-rdx"},"modified":"2024-04-30T13:53:09","modified_gmt":"2024-04-30T11:53:09","slug":"uyazvimost-v-realizaczii-yazyka-r-pozvolyayushhaya-vypolnit-kod-pri-obrabotke-fajlov-rds-i-rdx","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/news\/uyazvimost-v-realizaczii-yazyka-r-pozvolyayushhaya-vypolnit-kod-pri-obrabotke-fajlov-rds-i-rdx","title":{"rendered":"Una vulnerabilit\u00e0 nell'implementazione del linguaggio R che consente l'esecuzione di codice durante l'elaborazione di file rds e rdx.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Nella versione principale del linguaggio di programmazione R, orientato alla risoluzione di problemi di elaborazione statistica, analisi e visualizzazione dei dati, \u00e8 stata trovata una vulnerabilit\u00e0 critica (CVE-2024-27322) che consente l'esecuzione di codice durante la deserializzazione di dati non verificati. Questa vulnerabilit\u00e0 pu\u00f2 essere sfruttata durante l'elaborazione di file appositamente formattati nei formati RDS (R Data Serialization) e RDX, utilizzati per lo scambio di dati tra applicazioni. Il problema \u00e8 stato risolto con il rilascio di R 4.4.0. \u00c8 possibile monitorare il rilascio degli aggiornamenti dei pacchetti nelle distribuzioni sulle pagine di Debian, Ubuntu, RHEL, SUSE\/openSUSE, Fedora, Arch e FreeBSD. <\/p>\n
La vulnerabilit\u00e0 \u00e8 causata da una peculiarit\u00e0 del funzionamento della funzione readRDS, utilizzata per caricare file nei formati RDS e RDX, che consentono di trasferire oggetti R serializzati per l'elaborazione su un'altra macchina. La serializzazione offre la possibilit\u00e0 di fissare lo stato e condividere set di dati tra programmi. Il formato RDS consente di memorizzare lo stato di un singolo oggetto, mentre il formato RDX, insieme ai file RDB, consente di trasferire informazioni su pi\u00f9 oggetti. Il problema \u00e8 legato al fatto che il formato RDS supporta il codice oggetto PROMSXP, associato al tipo Promise, utilizzato per definire espressioni chiamate in modo asincrono durante l'uso dei valori ad esse associati. <\/p>\n
Durante la deserializzazione, per determinare l'oggetto Promise si utilizzano tre componenti: il valore del Promise, l'espressione e l'ambiente. Se per il tipo Promise non \u00e8 stato precedentemente assegnato un valore calcolato, questo viene calcolato durante la deserializzazione eseguendo l'espressione tramite la funzione \"eval\". In questo modo, un attaccante pu\u00f2 ottenere l'esecuzione di codice arbitrario nel linguaggio R, sostituendo l'espressione associata ai valori non calcolati nei file RDS o RDX. \n Fonte: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"