CVE-2024-52338

Apache Arrow R paketinin 4.0.0-dan 16.1.0-a qədər olan versiyalarında IPC və Parquet oxuyucularında etibarsız məlumatların deserializasiyası ixtiyari kodun icrasına imkan verir. Əgər tətbiq etibarsız mənbələrdən (məsələn, istifadəçi tərəfindən təqdim edilən giriş fayllarından) Arrow IPC, Feather və ya Parquet məlumatlarını oxuyursa, həmin tətbiq bu zəifliyə qarşı həssasdır. Bu zəiflik yalnız arrow R paketini əhatə edir; digər Apache Arrow implementasiyaları və ya binding-ləri, həmin binding-lər xüsusi olaraq R paketi vasitəsilə istifadə edilmədiyi halda təsirlənmir (məsələn, daxilində Python interpretatoru olan və etibarsız mənbələrdən faylları oxumaq üçün PyArrow-dan istifadə edən bir R tətbiqi, əgər arrow R paketinin təsirlənmiş versiyası istifadə olunursa, hələ də həssasdır). arrow R paketi istifadəçilərinə 17.0.0 və ya daha yeni versiyaya keçid etməkləri tövsiyə olunur. Eynilə, aşağı axın kitabxanalarının (downstream libraries) asılılıq tələblərini arrow 17.0.0 və ya daha yeni versiyaya yüksəltmələri tövsiyə edilir. Paketin təsirlənmiş versiyasından istifadə edildikdə, etibarsız məlumatlar Table obyektinə oxuna bilər və alternativ həll yolu kimi onun daxili to_data_frame() metodu istifadə edilə bilər (məsələn, read_parquet(..., as_data_frame = FALSE)$to_data_frame()). Bu problem Apache Arrow R paketinin 4.0.0-dan 16.1.0-a qədər olan versiyalarını əhatə edir. İstifadəçilərə problemi aradan qaldıran 17.0.0 versiyasına keçid etməkləri tövsiyə olunur.