「Apache Arrow」のR言語向けパッケージに深刻な脆弱性

データ処理ライブラリ「Apache Arrow」において、R言語の利用者向けに提供されているパッケージに深刻な脆弱性が明らかとなった。

「Rパッケージ 16.1.0」および以前のバージョンにおいて、信頼できないデータをデシリアライズする「CVE-2024-52338」が明らかとなったもの。「Arrow IPC」「Feather」「Parquet」形式のデータを処理する際、任意のコードを実行されるおそれがある。

開発チームは、重要度を4段階中もっとも高い「クリティカル（Critical）」とレーティングした。また米サイバーセキュリティインフラストラクチャセキュリティ庁（CISA）では、共通脆弱性評価システム「CVSSv3.1」のベーススコアを「9.8」とし、重要度を同じく「クリティカル」としている。

「同17.0.0」で修正されており、開発チームでは同バージョン以降へアップデートするよう呼びかけた。回避策をあわせてアナウンスしている。

なお、影響を受ける「Rパッケージ」を含まないほかの「Apache Arrow」の実装については、「CVE-2024-52338」の影響を受けないという。

（Security NEXT - 2024/12/02 ）ツイート