threatradarai/trai-001-critical-rce-vulnerability-in-apache-parquet-cve-2025-30065-simulation一个评级为CVSS 10.0的漏洞存在于parquet-avro Java模块中，该漏洞在解析schema时通过不安全反序列化导致远程代码执行。该缺陷编号为CVE-2025-30065，影响Apache Parquet ≤ 1.15.0。所有用户必须立即升级至1.15.1版本以缓解利用风险。
| 类别 | 描述 |
|---|
| CVE ID | CVE-2025-30065 |
| 受影响版本 | Apache Parquet <= 2.9.0 |
| CVSS 评分 | 10.0（严重） |
| 攻击向量 | 恶意 Parquet 文件上传 |
| 影响 | 远程代码执行 → 系统完全沦陷 |
该漏洞源于：
1. 侦查 # 扫描易受攻击的服务
2. 漏洞利用 # 投递恶意 Parquet 文件
3. 权限提升 # 提升为 root/管理员
4. 数据窃取 # 窃取 AWS 凭证、数据库数据、PII
├── app.py # Flask 后端（模拟 API）
├── static/
│ ├── script.js # 终端与漏洞利用逻辑
│ └── style.css # 深色主题样式
├── templates/
│ └── index.html # 交互式 Web 界面
├── screenshots/ # 演示图片
└── README.md
git clone https://github.com/yourusername/apache-parquet-rce-simulator.git
cd apache-parquet-rce-simulator
pip install flask
python app.py
访问 http://localhost:5000 启动交互式模拟器。
设置目标
配置 IP（192.168.1.100）和端口（8080）
执行阶段
点击每个攻击阶段：
查看结果
1. 打补丁：
- 升级至 Apache Parquet >= 1.15.1。
2. 防御措施：
- 禁用不必要的 Parquet 端点
- 实施文件内容验证
- 使用网络隔离
3. 检测：
- 监控异常的 Parquet 文件处理
- 对 thrift 反序列化错误发出告警
本工具仅为模拟器。 它用于演示攻击方法，仅供教育目的。未经许可不得用于真实系统。
NA