Notas de investigación CVE-2025-30065

Este repositorio se mantiene intencionalmente pequeño y legible. Está pensado para investigación de seguridad autorizada, validación local y estudio defensivo de CVE-2025-30065 en el manejo de esquemas de Apache Parquet / Avro.

El README se centra en la higiene del repositorio, la reproducibilidad de la compilación y el uso seguro. No proporciona orientación operativa sobre explotación.

Qué contiene el repositorio

• Un banco de pruebas de investigación basado en Java.
• Un pequeño conjunto de archivos fuente utilizados para estudiar la vulnerabilidad en un laboratorio controlado.
• Una definición de compilación de Maven.
• Un script auxiliar para compilar y ejecutar el proyecto localmente.

Requisitos previos

• Java 8 o superior.
• Maven.
• Un entorno de pruebas controlado que sea de tu propiedad o para el que tengas autorización explícita de uso.

Compilar y ejecutar

chmod +x run.sh
./run.sh

Si prefieres ejecutar la compilación manualmente:

mvn clean package

Notas de seguridad

• Utiliza este repositorio únicamente en sistemas sobre los que tengas permiso explícito.
• Mantén el entorno aislado de los sistemas de producción y de redes de terceros.
• Si estás validando un parche, verifica primero las versiones de dependencias corregidas y los controles de tu classpath.

Estilo de documentación

El repositorio está documentado en inglés sencillo, con secciones breves, encabezados claros y mínima distracción.

Mantenedores

• h3st4k3r

Consulta CONTRIBUTORS.md para ver la lista de contribuyentes.

Licencia

Consulta LICENSE.

Seguridad

Consulta SECURITY.md para obtener orientación sobre divulgación responsable y contacto.

Agradecimientos

Gracias a:

• @micrictor por señalar la diferencia entre la inyección conceptual de esquemas y la lógica real del parche.
• Mouad Kondah por el PoC público que seguía la ruta correcta del constructor.
• F5 Labs por documentar las implicaciones en el mundo real y proporcionar una fuerte visibilidad pública.
• A todos los que contribuyeron mediante el debate y la divulgación responsable.

Notas para revisores

El código está pensado para investigación defensiva, no para distribución amplia ni reutilización operativa. Si estás comparando el comportamiento antes y después de un parche, mantén la validación confinada a un laboratorio y documenta tus condiciones de prueba.