Apache Arrow R 包反序列化漏洞

北京赛克艾威科技有限公司 2024-11-29

漏洞编号：CVE-2024-52338
漏洞等级：严重
漏洞标签：发布预警、公开漏洞
发布时间：2024-11-29

漏洞描述

Apache Arrow R 包是 Apache Arrow 项目的R语言组件，用于处理高性能的列式数据格式。受影响的版本中，由于extension\_metadata\(\) 中直接调用 unserialize函数，导致反序列化漏洞。在读取 R 元数据时未进行类型或内容检查，允许恶意数据通过 x 参数触发任意代码执行。攻击者可以通过构造恶意的 IPC 或 Parquet 文件在元数据中注入危险对象（如 promises、environments 等）。修复代码通过新增 safe\_unserialize 和 safe\_r\_metadata 函数，确保反序列化操作仅限安全类型。