mouadk/parquet-rce-poc-cve-2025-30065Proof-of-concept exploit per CVE-2025-30065 che dimostra l'istanziazione remota di classi e SSRF tramite file Parquet malevoli in applicazioni Java.
Questo repository illustra come sfruttare CVE-2025-30065 e ottenere l'istanziazione remota di classi e attivare una richiesta di rete dall'interno dell'applicazione vittima, cioè la JVM, ottenendo così SSRF.
Il parquet generato in Malicious.java presuppone che la classe RCEPayload.java sia presente nel classpath, il che non è realistico. È possibile attivare il PoC eseguendo Reader.java.
MaliciousSSRF.java è più fattibile (dal punto di vista dell'attaccante) e attiva una connessione di rete che potrebbe essere interna o esterna.
Si potrebbero anche trovare altri gadget per ottenere RCE (la parte difficile è trovare un costruttore che accetti una stringa come argomento e porti a RCE, non è come la deserializzazione Java semplice).
Analogamente, il PoC può essere eseguito usando ReaderSSRF.java.
Per maggiori dettagli sul funzionamento interno della vulnerabilità e sulla correzione, puoi dare un'occhiata al mio blogpost: www.deep-kondah.com/parquet-under-fire-a-technical-analysis-of-cve-2025-30065
