💥 CVE-2025-30065 - Prova de Conceito de Desserialização Parquet

Este projeto demonstra uma prova de conceito segura para CVE-2025-30065 usando Apache Parquet e desserialização Java.

Quando um arquivo Parquet contendo um objeto Java serializado é lido, o payload executa um comando visível para provar a execução de código.

📦 Uso

Gerar o payload Parquet:

docker-compose run --rm maven-parquet mvn compile exec:java -Dexec.mainClass=ParquetPayloadWriter

docker-compose run --rm maven-parquet mvn compile exec:java -Dexec.mainClass=ParquetPayloadReader

Você deve ver algo como:

[👀 saída do payload] {output of whoami}

Não funciona na versão corrigida 1.15.1

Tente alterar o número da versão para 1.15.1 a partir da versão vulnerável <1.15.0 em /app/pom.xml. Não funcionará mais.

links

BleepingComputer

NIST CVE