Apache Parquet Java 库 反序列化漏洞 CVE-2025-30065

在这里插入图片描述

​CVE-2025-30065 是 Apache Parquet Java 库（特别是其 parquet-avro 模块）中一个严重的反序列化漏洞，允许攻击者通过特制的 Parquet 文件在目标系统上执行任意代码。​

漏洞原理：

该漏洞源于 parquet-avro 模块在解析 Avro 模式（schema）元数据时，对不受信任数据的反序列化处理不当。​攻击者可以构造恶意的 Parquet 文件，利用该漏洞在读取这些文件的系统上执行任意代码。 ​

受影响的类：

具体受影响的类位于 parquet-avro 模块中，涉及处理 Avro 模式解析的部分。​由于官方未明确指出具体的类名，建议查看 parquet-avro 模块中负责模式解析的相关类，以进一步分析漏洞细节。​库版本1.8.0

利用代码（PoC）：

截至目前，尚未发现公开的针对 CVE-2025-30065 的完整利用代码（PoC）。​然而，鉴于该漏洞的严重性，建议用户立即采取措施进行防护。 ​

防范措施：

升级库版本： 将 Apache Parquet Java 库更新至 1.15.1 或更高版本，以修复该漏洞。 ​

限制不受信任的输入： 在处理来自外部或不受信任来源的 Parquet 文件时，务必谨慎，避免处理未经验证的文件。​

监控与日志记录： 加强对处理 Parquet 文件的系统的监控，记录异常行为，以便及时发现潜在的攻击尝试。​

通过上述措施，可以有效降低该漏洞带来的安全风险，保护系统免受潜在攻击。​

后续我将对漏洞进行复现

# apache # java # 开发语言 # web安全 # 安全性测试 # 安全威胁分析 # 网络安全
Logo
天工造物局

北京人形旗下天工造物具身智能开源社区，聚焦具身天工与慧思开物两大平台

更多推荐

deck.gl TripsLayer 出租车轨迹动画示例实战：从示例运行到着色器原理

TripsLayer 是 deck.gl 中用于渲染**随时间流动的轨迹动画**（如出租车行程、物流路径、迁徙路线）的核心图层。本文以仓库中的最小独立示例 [examples/website/trips](https://link.gitcode.com/i/1442af8f442f4cff39ff546e050fceb5) 为骨架，带你完成从安装依赖、启动应用、理解曼哈顿出租车数据格式，到深入

avatar 天工造物局

Foundry Anvil 中 eth_simulateV1 的 Blob 交易与 Blob Gas 字段规范化：原理、实现与测试验证

本篇技术指南以 [anvil-simulate-blob-transactions.md](https://link.gitcode.com/i/3d2ebe227262de169335eb290af80da8) 这条 changelog 条目为起点，深入剖析 Foundry Anvil 对 `eth_simulateV1` RPC 返回结果中 blob（EIP-4844）交易与 blob gas

avatar 天工造物局

LMCache CLI 实战：用 `lmcache kvcache clear` 管理运行中服务的 KV Cache 状态

本文是一份针对 LMCache 官方 CLI 命令 `lmcache kvcache` 的完整技术指南。该命令用于在**运行中的 LMCache 服务（MP HTTP server）**上管理 KV cache 状态，当前提供 `clear` 子命令，用于清空 L1（CPU 内存）层中缓存的全部 KV 数据。读完本文，你将掌握该命令的完整参数体系、退出码语义、终端/JSON/静默三种输出模式，并能

avatar 天工造物局