CVE-2023-47248

PyArrow 0.14.0 ile 14.0.0 sürümlerindeki IPC ve Parquet okuyucularda güvenilmeyen verilerin deserialization işlemi, rastgele kod çalıştırılmasına olanak tanır. Bir uygulama; Arrow IPC, Feather veya Parquet verilerini güvenilmeyen kaynaklardan (örneğin kullanıcı tarafından sağlanan giriş dosyaları) okuduğu takdirde savunmasızdır. Bu güvenlik açığı yalnızca PyArrow'u etkilemekte olup diğer Apache Arrow uygulamalarını veya bağlamalarını etkilememektedir. PyArrow kullanıcılarının 14.0.1 sürümüne yükseltme yapmaları önerilir. Benzer şekilde, alt kütüphanelerin bağımlılık gereksinimlerini PyArrow 14.0.1 veya daha yeni bir sürüme yükseltmeleri önerilmektedir. PyPI paketleri halihazırda mevcuttur ve conda-forge paketlerinin yakında mevcut olması beklenmektedir. Yükseltme yapmanın mümkün olmadığı durumlar için, eski PyArrow sürümlerinde bu güvenlik açığını devre dışı bırakan ayrı bir `pyarrow-hotfix` paketi sunulmaktadır. Talimatlar için https://pypi.org/project/pyarrow-hotfix/ adresine bakınız.