Wysoka

Missing Initialization of Resource in Apache Arrow

Ujawniono: 08.11.2019
Aktualizacja: 11.10.2026 11:20

While investigating UBSAN errors in https://github.com/apache/arrow/pull/5365 it was discovered Apache Arrow versions 0.12.0 to 0.14.1, left memory Array data uninitialized when reading RLE null data from parquet. This affected the C++, Python, Ruby and R implementations. The uninitialized memory could potentially be shared if are transmitted over the wire (for instance with Flight) or persisted in the streaming IPC and file formats.

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

Platforma	Paczka	Podatne wersje	Poprawka w wersji
Python (PyPI)	pyarrow	>= 0.12.0, < 0.15.1	0.15.1

Odnośniki

Ocena CVSS 7.5/10

Wektor CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
Słabość (CWE): CWE-909
Platforma: Python (PyPI)
Paczka: pyarrow
Ujawniono: 08.11.2019
Aktualizacja: 11.10.2026 11:20

Źródła i licencje

OSV / GitHub Advisory Database - PYSEC-2019-196 - PyPA Advisory Database; CC BY 4.0

OSV / GitHub Advisory Database - GHSA-cjw4-2w9r-r8mv - CC BY 4.0

Historia podatności: pyarrow

Wszystkie opisane podatności tej paczki (Python (PyPI)), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkich wpisów: 5
Pierwsza → ostatnia: 11.2019 02.2026
Bez poprawki: 0
Wykorzystywana w atakach: 0

Rozkład istotności

Krytyczna 1
Wysoka 3
Nieoceniona 1

Ujawnienia w latach

2019: 2
2020: 0
2021: 0
2022: 0
2023: 1
2024: 1
2025: 0
2026: 1

17.02.2026

Apache Arrow: Potential use-after-free when reading IPC file with pre-buffering

Wysoka · 7.0 CVE-2026-25087 >= 15.0.0, < 23.0.1 23.0.1
28.11.2024

Deserialization of untrusted data in IPC and Parquet readers in the Apache Arrow R package versions 4.0.0 through 16.1.0 allows arbitrary code execution. An application is vulnerable if it

Nieoceniona CVE-2024-52338 >= 4.0.0, < 17.0.0 17.0.0
09.11.2023

PyArrow: Arbitrary code execution when loading a malicious data file

Krytyczna · 9.8 CVE-2023-47248 >= 0.14.0, < 14.0.1 14.0.1
08.11.2019

It was discovered that the C++ implementation (which underlies the R, Python and Ruby implementations) of Apache Arrow 0.14.0 to 0.14.1 had a uninitialized memory bug when building arrays with null va

Wysoka · 7.5 CVE-2019-12408 >= 0.14.0, < 0.15.0 0.15.0
08.11.2019

Missing Initialization of Resource in Apache Arrow ten wpis

Wysoka · 7.5 CVE-2019-12410 >= 0.12.0, < 0.15.1 0.15.1

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację