CVE-2024-12741

Affected Versions: DAQExpress 5.1 and all prior versions.

NI (National Instruments) firmasi tarafindan gelistirilen sensorlerden olcum ve cihazlardan veri toplamak icin kullanilan bir yazilimdir.

LOAD

Analysis

Daqexpress urununu incelerken birden fazla deserialize acigi ile karsilastim (xamlreader,binaryformatter) bugun bunlardan BinaryFormatter olanini analiz edecegiz.

Uygulama birden fazla ozellik ile calisiyor bizim ilgilendigimiz kisim kullanicidan bir proje dosyasi alip onu islemesi.

Deserialize

LOAD

  1. BinaryFormatter sinifini tanimliyor.
  2. serializedValue stringini base64 decode ediyor.
  3. DataValueSerializer classinin CompressionMethod enumuna gore compression none mi gzip mi kontrol ediyor, eger compression gzip ise onu gzipten cikartip deserialize ediyor.
  4. Compression None ise direk deserialize ediyor.

DataItem

LOAD