Apache Arrow R package反序列化漏洞（CVE-2024-52338）

漏洞描述:

Apache Arrow是一种通用的列式格式和多语言工具箱,用于快速数据交换和内存分析,Apache Arrow R软件包是Apache Arrow项目的R语言组件,用于处理高性能的列式数据格式,它允许R语言用户高效地读取、写入和操作Arrow格式的数据,Apache Arrow R包中存在一个反序列化漏洞（CVE-2024-52338）,该漏洞的CVSS评分为9.8,Apache Arrow R 包（版本 4.0.0 - 16.1.0）存在反序列化漏洞,该漏洞源于 IPC和Parquet数据读取器在处理元数据时未对输入进行严格验证,攻击者可通过构造恶意的Arrow IPC、Feather或Parquet 文件,在元数据中嵌入恶意对象,当应用程序加载这些文件时,unserialize() 函数会直接解析元数据,可能触发反序列化漏洞,从而导致任意代码执行。

影响范围:
Apache Arrow R package 4.0.0-16.1.0

安全措施:
升级版本
目前该漏洞已经修复,受影响用户可将Apache Arrow R包或Apache Arrow升级到17.0.0或更高版本。

下载链接:
https://github.com/apache/arrow/tags

临时措施:
暂无

参考链接:
https://lists.apache.org/thread/0rcbvj1gdp15lvm23zm601tjpq0k25vt

原文始发于微信公众号（飓风网络安全）：【漏洞预警】Apache Arrow R package反序列化漏洞（CVE-2024-52338）