Se ha publicado una herramienta de explotación de prueba de concepto para una vulnerabilidad de máxima gravedad de Apache Parquet, identificada como CVE-2025-30065, lo que facilita la búsqueda de servidores vulnerables.
La herramienta fue lanzada por investigadores de F5 Labs que investigaron la vulnerabilidad después de descubrir que varias PoC existentes eran débiles o completamente no funcionales.
La herramienta sirve como prueba de la explotabilidad práctica de CVE-2025-30065 y también puede ayudar a los administradores a evaluar sus entornos y servidores seguros.
Apache Parquet es un formato de almacenamiento en columnas de código abierto diseñado para un procesamiento eficiente de datos, ampliamente utilizado por plataformas de big data y organizaciones dedicadas a la ingeniería y el análisis de datos.
La falla se divulgó por primera vez el 1 de abril de 2025, tras un descubrimiento previo del investigador de Amazon Keyi Li. Se categorizó como una ejecución remota de código que afectó a todas las versiones de Apache Parquet hasta la 1.15.0 inclusive.
Desde una perspectiva técnica, CVE-2025-30065 es una falla de deserialización en el módulo parquet-avro de Apache Parquet Java, donde la biblioteca no puede restringir qué clases Java se pueden instanciar al leer datos de Avro incrustados en archivos Parquet.
El 2 de abril de 2025, Endor Labs publicó un artículo advirtiendo sobre el riesgo de explotación y su posible impacto en los sistemas que importan archivos Parquet desde puntos externos.
Un análisis posterior realizado por F5 Labs muestra que la falla no es un RCE de deserialización completa, pero aún así puede usarse incorrectamente si una clase tiene efectos secundarios durante la instanciación, como al realizar una solicitud de red desde el sistema vulnerable a un servidor controlado por el atacante.
Sin embargo, los investigadores concluyeron que la explotación práctica es difícil y CVE-2025-30065 tiene un valor limitado para los atacantes.
"Si bien Parquet y Avro se utilizan ampliamente, este problema requiere un conjunto específico de circunstancias que no son tan probables en general", se lee en el informe de F5 Labs .
Aun así, este CVE solo permite a los atacantes activar la instanciación de un objeto Java, lo que debe tener un efecto secundario útil para el atacante.
A pesar de la baja probabilidad de explotación, los investigadores admiten que algunas organizaciones procesan archivos Parquet de fuentes externas, a menudo no verificadas, y por lo tanto el riesgo es significativo en algunos entornos.
Por este motivo, F5 Labs creó una herramienta de "exploit canario" ( disponible en GitHub ) que activa una solicitud HTTP GET a través de la instanciación de javax.swing.JEditorKit, lo que permite a los usuarios verificar la exposición.
Además de usar la herramienta, se recomienda actualizar a Apache Parquet versión 15.1.1 o posterior y configurar 'org.apache.parquet.avro.SERIALIZABLE_PACKAGES' para restringir qué paquetes pueden deserializarse.
Fuente: Bleepingcomputer.