💥 CVE-2025-30065 - Parquet 역직렬화 PoC

이 프로젝트는 Apache Parquet과 Java 역직렬화를 사용하여 CVE-2025-30065에 대한 안전한 개념 증명(PoC)을 보여줍니다.

직렬화된 Java 객체가 포함된 Parquet 파일을 읽으면 페이로드가 코드 실행을 증명하기 위해 눈에 보이는 명령을 실행합니다.

📦 사용법

Parquet 페이로드 생성:

docker-compose run --rm maven-parquet mvn compile exec:java -Dexec.mainClass=ParquetPayloadWriter

docker-compose run --rm maven-parquet mvn compile exec:java -Dexec.mainClass=ParquetPayloadReader

다음과 같은 출력이 표시되어야 합니다:

[👀 페이로드 출력] {whoami의 출력}

패치된 1.15.1에서는 작동하지 않음

취약한 <1.15.0 버전에서 /app/pom.xml의 버전 번호를 1.15.1로 변경해 보세요. 더 이상 작동하지 않습니다.

링크

BleepingComputer

NIST CVE