Vulnerabilidad en Apache Arrow R (CVE-2024-52338)

La deserialización de datos no confiables en lectores IPC y Parquet en las versiones 4.0.0 a 16.1.0 del paquete Apache Arrow R permite la ejecución de código arbitrario. Una aplicación es vulnerable si lee datos IPC, Feather o Parquet de Arrow de fuentes no confiables (por ejemplo, archivos de entrada proporcionados por el usuario). Esta vulnerabilidad solo afecta al paquete R arrow, no a otras implementaciones o enlaces de Apache Arrow a menos que esos enlaces se utilicen específicamente a través del paquete R (por ejemplo, una aplicación R que incorpora un intérprete de Python y utiliza PyArrow para leer archivos de fuentes no confiables sigue siendo vulnerable si el paquete R arrow es una versión afectada). Se recomienda que los usuarios del paquete R arrow actualicen a la versión 17.0.0 o posterior. De manera similar, se recomienda que las bibliotecas posteriores actualicen sus requisitos de dependencia a arrow 17.0.0 o posterior. Si se utiliza una versión afectada del paquete, se pueden leer datos no confiables en una tabla y se puede utilizar su método interno to_data_frame() como solución alternativa (por ejemplo, read_parquet(..., as_data_frame = FALSE)$to_data_frame()). Este problema afecta al paquete Apache Arrow R: desde la versión 4.0.0 hasta la 16.1.0. Se recomienda a los usuarios que actualicen a la versión 17.0.0, que soluciona el problema.