O que é

Pessoal de Compliance? Pessoal de AppSec? Pessoal de Gestão de Vulnerabilidades? O F5 Labs fez isso para vocês. Esta CVE tem uma pontuação CVSS 10, o que normalmente significa que são necessários prazos apertados. Empacotamos a ferramenta como um arquivo jar que pode gerar um arquivo parquet para você. Você pode fornecê-lo aos seus próprios sistemas para determinar se eles são vulneráveis - o que é útil tanto antes quanto depois da correção.

O crédito pelos internos deste PoC vai para Mouad Kondah. O artigo deles datado de 2025-04-07 discute esta CVE e seus PoCs.

Como Funciona

O arquivo parquet abusa do comportamento em parquet-avro que permite passar uma String Java não confiável para um construtor de classe Java arbitrária. Você fornece a URL de callback, e quando seu sistema lê o arquivo parquet, isso resultará em um objeto javax.swing.JEditorPane tentando alcançar essa URL. Isso é benigno.

Vídeo de Demonstração

Quer um resumo rápido da ferramenta de exploit canário? Assista a este YouTube Short de dois minutos para uma demonstração ao vivo: [demo video].

Configurações Vulneráveis

Observe que existem dois cenários de vulnerabilidade que o F5 Labs conhece para o módulo parquet-avro:

1. Versão 1.15.0 e anteriores - pois não havia conceito de listas de permissão de pacotes para forçar objetos String em tipos alternativos.
2. Versão 1.15.1 em diante (no momento da escrita) se e somente se a configuração org.apache.parquet.avro.SERIALIZABLE_PACKAGES tiver sido definida para algo permissivo, por exemplo *.

Armadilhas

Você pode usar isso com qualquer coisa para a qual seu sistema tenha saída (DNS e/ou HTTP(S)). Se você não tiver saída de nenhum tipo para a internet em geral, então considere qualquer coisa que seja alcançável dentro do seu data center para a qual você possa obter logs de acesso DNS ou HTTP. Esteja ciente que errar isso resultará em um falso negativo. Configurações altamente irregulares para org.apache.parquet.avro.SERIALIZABLE_PACKAGES podem concebivelmente levar a um falso negativo também, veja a subseção anterior.

Usando o Gerador de Exploit Canário

Você é incentivado a ler e entender o código e construí-lo por conta própria. Fornecemos a compilação de distribuição do código como um jar neste repositório para sua conveniência.

Obtendo o JDK Java

Você precisará do JDK 21 ou posterior para compilar ou executar o gerador (termos de pesquisa como "instalação OpenJDK21" podem ajudar aqui). Se você está familiarizado com a instalação do JDK, estes são atalhos:

• MacOS: brew install openjdk@21
• Ubuntu/Debian: sudo apt install openjdk-21-jdk
• Red Hat: sudo yum install java-21-openjdk
• Windows: https://learn.microsoft.com/en-us/java/openjdk/install

Obtendo o Jar de Distribuição

Você pode baixar o jar ou clonar o repositório.

Baixando o Jar de Distribuição

Clonando este Repositório do Github

Verificando seu Jar de Distribuição

Saída esperada:

Obter Ajuda de Uso

Saída esperada:

Gerar o Arquivo de Exploit Canário

Primeiro, determine o que você quer que YOUR_CALLBACK_URL seja. Você precisa ser capaz de detectar quando seu backend de processamento de parquet resolve o nome de domínio da URL ou solicita a URL do servidor web. Você pode considerar canarytokens.org "Web bug" ou "DNS" para isso. Veja a seção Armadilhas acima para detalhes.

Execute este comando:

Isso gerará poc.parquet. Verifique assim:

Isso deve gerar:

Este arquivo pode agora ser fornecido ao seu sistema. Se seu sistema for vulnerável, você receberá um callback. Veja também a seção Armadilhas.

Testar o Arquivo de Exploit Canário

Por conveniência, isso também gerará o arquivo se ele ainda não existir.

Testar o Exploit Canário Localmente

Veja CanaryExploitGenerator.testParquetFile() para saber como o arquivo parquet é lido. É assim que o código nas profundezas do seu sistema se parecerá:

Aviso Legal

Esta ferramenta destina-se apenas ao uso em ambientes autorizados de teste de segurança. Conheça as leis da(s) jurisdição(ões) aplicável(eis). Veja LICENSE.md para detalhes legais.