CVE-2023-47248 in PyArrow
Resumen
por MITRE • 2023-11-09
La deserialización de datos que no son de confianza en lectores IPC y Parquet en las versiones de PyArrow 0.14.0 a 14.0.0 permite la ejecución de código arbitrario. Una aplicación es vulnerable si lee datos de Arrow IPC, Feather o Parquet de fuentes que no son de confianza (por ejemplo, archivos de entrada proporcionados por el usuario). Esta vulnerabilidad solo afecta a PyArrow, no a otras implementaciones o enlaces de Apache Arrow. Se recomienda que los usuarios de PyArrow actualicen a 14.0.1. De manera similar, se recomienda que las librerías posteriores actualicen sus requisitos de dependencia a PyArrow 14.0.1 o posterior. Los paquetes PyPI ya están disponibles y esperamos que los paquetes conda-forge lo estén pronto. Si no es posible actualizar, proporcionamos un paquete separado `pyarrow-hotfix` que desactiva la vulnerabilidad en versiones anteriores de PyArrow. Consulte https://pypi.org/project/pyarrow-hotfix/ para obtener instrucciones.
If you want to get best quality of vulnerability data, you may have to visit VulDB.