Apache Arrow R 包反序列化漏洞(CVE-2024-52338)
CVE编号
CVE-2024-52338
利用情况
暂无
补丁情况
N/A
披露时间
2024-11-29
漏洞描述
Apache Arrow R 包是 Apache Arrow 项目的R语言组件，用于处理高性能的列式数据格式。
受影响的版本中，由于extension_metadata() 中直接调用 unserialize函数，导致反序列化漏洞。在读取 R 元数据时未进行类型或内容检查，允许恶意数据通过 x 参数触发任意代码执行。
攻击者可以通过构造恶意的 IPC 或 Parquet 文件在元数据中注入危险对象（如 promises、environments 等）。
修复代码通过新增 safe_unserialize 和 safe_r_metadata 函数，确保反序列化操作仅限安全类型。
解决建议
"将组件 arrow 升级至 17.0.0 及以上版本"
文章评论