PT-2024-3505 · R+2 · R+2
Kasimir Schulz
+1
·
Publicado
2024-04-29
·
Atualizado
2025-04-30
·
CVE-2024-27322
CVSS v3.1
8.8
Alta
| Vetor | AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H |
Nome do software vulnerável e versões afetadas
Versões do R de 1.4.0 a 4.3.9
Descrição
A linguagem de programação estatística R possui uma vulnerabilidade de desserialização que pode ocorrer quando dados não confiáveis são desserializados, permitindo que um arquivo formatado em RDS (R Data Serialization) ou pacote R criado de forma maliciosa execute código arbitrário no sistema de um usuário final ao ser acionado. Essa vulnerabilidade pode ser explorada por meio do uso de arquivos RDS ou pacotes R especialmente criados, expondo potencialmente os projetos a ataques à cadeia de suprimentos. O problema está relacionado ao uso de objetos promise e avaliação preguiçosa no R.
Recomendações
Para resolver o problema, atualize para a versão 4.4.0 ou posterior do R, pois a vulnerabilidade foi corrigida nesta versão. Para versões anteriores à 4.4.0, considere evitar o uso de arquivos RDS ou pacotes R não confiáveis e tenha cuidado ao carregar ou referenciar dados de fontes desconhecidas. Como solução temporária, considere restringir o acesso à função
readRDS ou desativar o uso de arquivos RDS até que uma correção seja aplicada.Correção
Deserialization of Untrusted Data
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Alt Linux
Debian
R