💥 CVE-2025-30065 - إثبات مفهوم إلغاء تسلسل Parquet

يعرض هذا المشروع إثبات مفهوم آمنًا لثغرة CVE-2025-30065 باستخدام Apache Parquet وإلغاء تسلسل Java.

عند قراءة ملف Parquet يحتوي على كائن Java متسلسل، تنفّذ الحمولة أمرًا مرئيًا لإثبات تنفيذ التعليمات البرمجية.

📦 الاستخدام

توليد حمولة Parquet:

docker-compose run --rm maven-parquet mvn compile exec:java -Dexec.mainClass=ParquetPayloadWriter

docker-compose run --rm maven-parquet mvn compile exec:java -Dexec.mainClass=ParquetPayloadReader

يجب أن ترى شيئًا مثل:

[👀 مخرجات الحمولة] {مخرجات whoami}

لن يعمل في الإصدار المُصحَّح 1.15.1

جرّب تغيير رقم الإصدار إلى 1.15.1 بدلاً من الإصدار الضعيف <1.15.0 في /app/pom.xml. لن يعمل بعد ذلك.

روابط

BleepingComputer

NIST CVE