Avro decompression codecs apply no output size limit

未关闭

#3,980 创建于 2026年9月16日 0 条评论 0 个 reaction 已指派 0 人在 GitHub 查看

还没有人认领这个 Issue。

评估

难度: 4/5
预计耗时: 3-5 天
新手友好度: 48/100

Issue 类型: 缺陷
描述清晰度: 基本清楚
活跃度: 活跃
技术栈: python
领域: backend, security

调研方向

Start by reading the codec implementations under pyiceberg/avro/codecs/, beginning with bzip2.py and then the deflate and zstd paths, to trace their decompression entry points. Define and apply a consistent output-size or expansion limit, then add coverage showing oversized decompressed output is rejected across the affected codecs.

由索引模型根据 Issue 内容生成。

描述

bug

The codecs in pyiceberg/avro/codecs/ decompress without bounding the output — e.g. bz2.decompress(data) in bzip2.py, and the same shape in the deflate and zstd paths.

The compressed input determines the decompressed size, and no cap or expansion-ratio check is applied.

Issue investigation generated via claude, reviewed by Sung, Kevin, Fokko.

主要语言: Python
星标: 1.1k
派生: 589
平均合并: 2 天 2 小时
30 天内合并 PR: 70

贡献指南

这个仓库没有索引到贡献指南

从这里开始

先读完整个 Issue，再读项目的贡献指南。
在 Issue 下留言说明你要接手 —— 这能避免两个人做同样的事。
Fork 仓库，在一个分支上完成修改。
提交 Pull Request，并在描述里引用这个 Issue 编号。

apache/iceberg-python 的其他 Issue

Avro EnumReader.skip() does not advance the decoder 未关闭

kind:bug

难度 1/5 1 小时以内新手友好度 92/100

apache/iceberg-python#4006 · 2026年9月22日创建
to_bytes silently rescales a Decimal with a negative scale 未关闭

难度 2/5 1-3 小时新手友好度 78/100

apache/iceberg-python#3996 · 2026年9月18日创建
Deletion vector bitmap count is read from the blob and used as a loop bound without validation 未关闭

bug

难度 2/5 1-3 小时新手友好度 72/100

apache/iceberg-python#3979 · 2026年9月16日创建
FsspecFileIO: `_adls` mutates shared properties, so a second storage account gets the first account's filesystem 未关闭

难度 2/5 1-3 小时新手友好度 78/100

apache/iceberg-python#3885 · 2026年8月31日创建
[Bug] PyArrowFileIO fails to propagate s3.ssl.ca-cert to pyarrow.fs.S3FileSystem tls_ca_file_path 未关闭

难度 2/5 1-3 小时新手友好度 76/100

apache/iceberg-python#3866 · 1 条评论 · 2026年8月26日创建

查看 apache/iceberg-python 的全部 Issue

相似的 Issue

Use `charmlibs.interfaces.oauth` instead of deprecated `hydra.oauth` 未关闭

enhancement

难度 2/5 1-3 小时新手友好度 70/100

canonical/paas-charm#368 · 1 条评论 · 2026年9月23日创建
Model API: distributable field returns false even when "Allow Distributed Inference Across Workers" is checked 未关闭

难度 2/5 1-3 小时新手友好度 75/100

gpustack/gpustack#6275 · 2026年9月23日创建
attachment_urls parameter descriptions do not state that the value must be a reference 未关闭

tech debt

难度 2/5 1-3 小时新手友好度 75/100

epam/ai-dial-quickapps-backend#579 · 2026年9月23日创建
addition to tracking list 未关闭

难度 1/5 1 小时以内新手友好度 90/100

StevenBlack/hosts#3256 · 2026年9月23日创建
Fix-WebUI-README-screenshot-links 未关闭

难度 1/5 1 小时以内新手友好度 90/100

qualcomm/qai-appbuilder#275 · 2026年9月23日创建

更多 Python Issue