Antoine Pitrou

**Nome do Software Vulnerável e Versões Afetadas** Apache Arrow C++ versões 15.0.0 a 23.0.0 **Descrição** Existe uma vulnerabilidade do tipo use-after-free no Apache Arrow C++ ao ler um arquivo Arrow IPC com pré-buffer habilitado, caso o arquivo contenha dados com buffers variádicos, como Binary View e String View. Isso pode levar a uma escrita em um ponteiro pendente, possivelmente causando travamentos aleatórios ou corrupção de memória. Se o aplicativo processar arquivos IPC de fontes não confiáveis, isso pode ser explorado para causar negação de serviço. A funcionalidade de pré-buffer está desabilitada por padrão, mas pode ser habilitada usando a chamada de API `RecordBatchFileReader::PreBufferMetadata`. Bindings de linguagem como Python, Ruby e C GLib não são vulneráveis, já que a funcionalidade não é exposta por meio deles. **Recomendações** Para as versões 15.0.0 a 23.0.0, verifique se o pré-buffer está habilitado no leitor de arquivos IPC usando `RecordBatchFileReader::PreBufferMetadata`. Se estiver habilitado, desabilite o pré-buffer ou atualize para a versão 23.0.1.

**Name of the Vulnerable Software and Affected Versions** PyArrow versions 0.14.0 through 14.0.0 **Description** The issue is related to the deserialization of untrusted data in IPC and Parquet readers, allowing arbitrary code execution. An application is vulnerable if it reads Arrow IPC, Feather, or Parquet data from untrusted sources, such as user-supplied input files. This vulnerability only affects PyArrow and not other Apache Arrow implementations or bindings. **Recommendations** For PyArrow versions 0.14.0 through 14.0.0, it is recommended to upgrade to version 14.0.1 or later. Downstream libraries should also upgrade their dependency requirements to PyArrow 14.0.1 or later. If an upgrade is not possible, a separate package `pyarrow-hotfix` is available to disable the vulnerability on older PyArrow versions.