Në implementimin kryesor të gjuhës së programimit R, e cila është e orientuar drejt zgjidhjes së problemeve për përpunimin statistik dhe analizën dhe vizualizimin e të dhënave, është zbuluar një dobësi kritike (CVE-2024-27322), e cila çon në ekzekutimin e kodit gjatë deserializimit të të dhënave të paarritura. Dobësia mund të eksploatohet gjatë përpunimit të skedareve të formatuara posaçërisht në formatet RDS (R Data Serialization) dhe RDX, që përdoren për shkëmbimin e të dhënave midis aplikacioneve. Problemi është zgjidhur në lëshimin R 4.4.0. Mund të ndiqni lëshimin e azhurnimeve të pakove në shpërndarjet në faqet e Debian, Ubuntu, RHEL, SUSE/openSUSE, Fedora, Arch, FreeBSD.
Dobësia shkaktohet nga veçoritë e funksionit readRDS, i cili përdoret për të ngarkuar skedarë në formatet RDS dhe RDX, të cilat lejojnë kalimin e objekteve të serializuara R për përpunim në një sistem tjetër. Serializimi ofron mundësinë për të fiksojnë gjendjen dhe për të shkëmbyer grupe të dhënash midis programeve. Formati RDS lejon ruajtjen e gjendjes për një objekt të vetëm, ndërsa formati RDX në kombinim me skedarët RDB lejon kalimin e informacionit për disa objekte. Problemi është i lidhur me faktin se formati RDS mbështet kodin objektik PROMSXP, i lidhur me llojin Promise, i cili përdoret për të përcaktuar shprehjet që thirren në mënyrë asinkrone gjatë përdorimit të vlerave të lidhura me to.
GjatĂ« deserializimit, pĂ«r tĂ« pĂ«rcaktuar objektin Promise pĂ«rdoren tri komponentĂ« â vlera Promise, shprehja dhe mjedisi. NĂ«se pĂ«r tipin Promise nuk Ă«shtĂ« caktuar njĂ« vlerĂ« e paracaktuar, ajo llogaritet gjatĂ« deserializimit pĂ«rmes ekzekutimit tĂ« shprehjes me funksionin "eval". KĂ«shtu, njĂ« sulmues mund tĂ« arrijĂ« tĂ« ekzekutojĂ« kod tĂ« rastĂ«sishĂ«m nĂ« gjuhĂ«n R, duke e vendosur atĂ« nĂ« vend tĂ« shprehjes qĂ« lidhet me vlerat e pa llogaritura nĂ« skedarĂ«t RDS ose RDX.
Burimi: opennet.ru
