En sårbarhet i implementationen av R-språket, som möjliggör kodexekvering vid behandling av rds- och rdx-filer.

I den grundläggande implementationen av programmeringsspråket R, som är inriktat på att lösa problem inom statistisk bearbetning, analys och visualisering av data, har en kritisk sårbarhet (CVE-2024-27322) identifierats, vilket leder till att kod kan köras när osäkrade data deserialiseras. Sårbarheten kan utnyttjas vid hantering av speciellt utformade filer i formaten RDS (R Data Serialization) och RDX, som används för databyte mellan applikationer. Problemet har åtgärdats i utgåvan R 4.4.0. Uppdateringar av paket i distributionerna kan följas på sidorna för Debian, Ubuntu, RHEL, SUSE/openSUSE, Fedora, Arch, FreeBSD.

Sårbarheten orsakas av funktionens readRDS, som används för att ladda filer i RDS och RDX-format, vilket tillåter överföring av serialiserade R-objekt för behandling på ett annat system. Serialisering möjliggör lagring av tillstånd och överföring av dataset mellan program. RDS-formatet kan lagra tillståndet av ett enda objekt, medan RDX-formatet, i kombination med RDB-filer, möjliggör överföring av information om flera objekt. Problemet är relaterat till att RDS-formatet stöder PROMSXP objektkod kopplad till typen Promise, som används för att definiera uttryck som anropas asynkront under användningen av de relaterade värdena.

Vid deserialisering används tre komponenter för att bestämma ett Promise-objekt — Promise-värde, uttryck och miljö. Om inget förberett värde anges för typen Promise beräknas det under deserialiseringen genom att uttrycket körs med hjälp av funktionen "eval". På så sätt kan en angripare få den att köra godtycklig kod i R genom att ersätta uttrycket som är kopplat till de oavsedda värdena i RDS- eller RDX-filer.

Källa: opennet.ru