ຊ່ອງໂຫວ່ໃນການປະຕິບັດພາສາ R ທີ່ອະນຸຍາດໃຫ້ປະຕິບັດລະຫັດໃນເວລາທີ່ປະມວນຜົນໄຟລ໌ rds ແລະ rdx.

A ຊ່ອງໂຫວ່ທີ່ສໍາຄັນ (CVE-2024-27322) ໄດ້ຖືກລະບຸໄວ້ໃນການປະຕິບັດຕົ້ນຕໍຂອງພາສາການຂຽນໂປລແກລມ R, ເຊິ່ງມີຈຸດປະສົງເພື່ອແກ້ໄຂບັນຫາການປຸງແຕ່ງສະຖິຕິ, ການວິເຄາະແລະການເບິ່ງເຫັນຂໍ້ມູນ, ນໍາໄປສູ່ການປະຕິບັດລະຫັດໃນເວລາທີ່ deserializing ຂໍ້ມູນທີ່ບໍ່ໄດ້ກວດສອບ. ຊ່ອງໂຫວ່ສາມາດຖືກຂູດຮີດໃນເວລາທີ່ປະມວນຜົນໄຟລ໌ທີ່ອອກແບບມາໂດຍສະເພາະໃນຮູບແບບ RDS (R Data Serialization) ແລະ RDX, ນໍາໃຊ້ສໍາລັບການແລກປ່ຽນຂໍ້ມູນລະຫວ່າງແອັບພລິເຄຊັນ. ບັນຫາໄດ້ຖືກແກ້ໄຂໃນການປ່ອຍ R 4.4.0. ທ່ານສາມາດຕິດຕາມການປ່ອຍການປັບປຸງຊຸດໃນການແຈກຢາຍຢູ່ໃນຫນ້າຂອງ Debian, Ubuntu, RHEL, SUSE/openSUSE, Fedora, Arch, FreeBSD.

ຊ່ອງໂຫວ່ແມ່ນເກີດມາຈາກຟັງຊັນ readRDS, ເຊິ່ງໃຊ້ໃນການໂຫຼດໄຟລ໌ໃນຮູບແບບ RDS ແລະ RDX, ເຊິ່ງອະນຸຍາດໃຫ້ວັດຖຸ RDS serialized ຖືກໂອນສໍາລັບການປະມວນຜົນໃນລະບົບອື່ນ. Serialization ເຮັດໃຫ້ມັນເປັນໄປໄດ້ທີ່ຈະເກັບກໍາລັດແລະຊຸດຂໍ້ມູນການແລກປ່ຽນລະຫວ່າງບັນດາໂຄງການ. ຮູບແບບ RDS ຊ່ວຍໃຫ້ທ່ານສາມາດເກັບຮັກສາສະຖານະກ່ຽວກັບວັດຖຸຫນຶ່ງ, ແລະຮູບແບບ RDX ປະສົມປະສານກັບໄຟລ໌ RDB ເຮັດໃຫ້ມັນເປັນໄປໄດ້ທີ່ຈະໂອນຂໍ້ມູນກ່ຽວກັບວັດຖຸຈໍານວນຫນຶ່ງ. ບັນຫາແມ່ນວ່າຮູບແບບ RDS ສະຫນັບສະຫນູນລະຫັດວັດຖຸ PROMSXP ທີ່ກ່ຽວຂ້ອງກັບປະເພດ Promise, ເຊິ່ງຖືກນໍາໃຊ້ເພື່ອກໍານົດການສະແດງອອກທີ່ເອີ້ນວ່າ asynchronously ເມື່ອຄ່າທີ່ກ່ຽວຂ້ອງຂອງພວກເຂົາຖືກນໍາໃຊ້.

ໃນ​ລະ​ຫວ່າງ​ການ deserialization, ສາມ​ພາກ​ສ່ວນ​ແມ່ນ​ໄດ້​ຖືກ​ນໍາ​ໃຊ້​ເພື່ອ​ກໍາ​ນົດ​ວັດ​ຖຸ​ຄໍາ​ຫມັ້ນ​ສັນ​ຍາ — ມູນ​ຄ່າ​ຄໍາ​ສັນ​ຍາ​, ການ​ສະ​ແດງ​ອອກ​, ແລະ​ສະ​ພາບ​ແວດ​ລ້ອມ​. ຖ້າປະເພດ Promise ບໍ່ມີຄ່າກ່ອນການຄິດໄລ່, ມັນຖືກຄິດໄລ່ໃນລະຫວ່າງການ deserialization ໂດຍການປະຕິບັດການສະແດງອອກໂດຍໃຊ້ຟັງຊັນ "eval". ດ້ວຍວິທີນີ້, ຜູ້ໂຈມຕີສາມາດເຮັດໃຫ້ລະຫັດ R ທີ່ຖືກປະຕິບັດໂດຍການປ່ຽນແທນການສະແດງອອກທີ່ກ່ຽວຂ້ອງກັບຄ່າທີ່ບໍ່ໄດ້ຄິດໄລ່ໃນໄຟລ໌ RDS ຫຼື RDX.

ແຫຼ່ງຂໍ້ມູນ: opennet.ru