mouadk/parquet-rce-poc-cve-2025-30065Preuve de concept d'exploit pour CVE-2025-30065 démontrant une instanciation de classe à distance et SSRF via des fichiers Parquet malveillants dans les applications Java.
Ce dépôt illustre comment exploiter CVE-2025-30065 et réaliser une instanciation de classe à distance et déclencher une requête réseau depuis l'application victime, c'est-à-dire la JVM, réalisant ainsi une SSRF.
Le fichier parquet généré dans Malicious.java suppose que la classe RCEPayload.java est présente dans le classpath, ce qui n'est pas réaliste. Vous pouvez déclencher cette PoC en exécutant Reader.java.
MaliciousSSRF.java est plus réaliste (d'un point de vue attaquant) et déclenche une connexion réseau qui peut être interne ou externe. On pourrait également trouver d'autres gadgets pour parvenir à une RCE (ce qui est délicat est de trouver un instructeur acceptant une chaîne en argument et conduisant à une RCE, ce n'est pas comme une désérialisation Java classique). De même, la PoC peut être exécutée en utilisant ReaderSSRF.java.
Pour plus de détails sur le fonctionnement interne de la vulnérabilité et le correctif, vous pouvez consulter mon article de blog : www.deep-kondah.com/parquet-under-fire-a-technical-analysis-of-cve-2025-30065
