一、漏洞详情
Apache Arrow是一种通用的列式格式和多语言工具箱，用于快速数据交换和内存分析。Apache Arrow R软件包是Apache Arrow项目的R语言组件，用于处理高性能的列式数据格式。
近日，监测到Apache Arrow R包中存在一个反序列化漏洞（CVE-2024-52338）。Apache Arrow R 包（版本 4.0.0 - 16.1.0）存在反序列化漏洞，该漏洞源于IPC和Parquet数据读取器在处理元数据时未对输入进行严格验证，攻击者可通过构造恶意的Arrow IPC、Feather或 Parquet文件，在元数据中嵌入恶意对象，当应用程序加载这些文件时，unserialize() 函数会直接解析元数据，可能触发反序列化漏洞，从而导致任意代码执行。
建议受影响用户做好资产自查以及预防工作，以免遭受黑客攻
二、影响范围
Apache Arrow R package 4.0.0 - 16.1.0
三、修复建议
目前该漏洞已经修复，受影响用户可将Apache Arrow R包或Apache Arrow升级到17.0.0或更高版本。