Na implementação principal da linguagem de programação R, voltada para a resolução de problemas de processamento estatístico, análise e visualização de dados, foi identificada uma vulnerabilidade crítica (CVE-2024-27322), que leva à execução de código durante a desserialização de dados não verificados. A vulnerabilidade pode ser explorada ao processar arquivos especialmente formatados nos formatos RDS (R Data Serialization) e RDX, utilizados para intercâmbio de dados entre aplicações. O problema foi corrigido na versão R 4.4.0. É possível acompanhar as atualizações dos pacotes nas distribuições nas páginas do Debian, Ubuntu, RHEL, SUSE/openSUSE, Fedora, Arch e FreeBSD.
A vulnerabilidade é causada pela particularidade do funcionamento da função readRDS, utilizada para carregar arquivos nos formatos RDS e RDX, que permitem a transmissão de objetos R serializados para processamento em outro sistema. A serialização possibilita fixar o estado e compartilhar conjuntos de dados entre programas. O formato RDS permite armazenar o estado de um único objeto, enquanto o formato RDX, em combinação com arquivos RDB, permite transmitir informações sobre vários objetos. O problema está relacionado ao fato de que o formato RDS dá suporte ao código de objeto PROMSXP, associado ao tipo Promise, que é usado para a definição de expressões chamadas de forma assíncrona ao utilizar seus valores associados.
Durante a desserialização, para determinar o objeto Promise, são utilizados três componentes — o valor Promise, a expressão e o ambiente. Se para o tipo Promise não for definida uma expressão previamente calculada, ela é calculada durante a desserialização por meio da execução da expressão utilizando a função "eval". Assim, um atacante pode conseguir executar código arbitrário na linguagem R, substituindo a expressão associada aos valores não calculados nos arquivos RDS ou RDX.
Fonte: opennet.ru
