POC-værktøj kan øge sandsynlighed for udnyttelse af kritisk sårbarhed

Et proof-of-concept-værktøj, der anviser en metode til udnyttelse af en kritisk sårbarhed i Apache Parquet er blevet offentliggjort.

Sårbarheden har id’et CVE-2025-30065 og en CVSS-score på 10. Den gør det muligt for en angriber at afvikle vilkårlig kode på sårbare systemer. Det skriver Bleeping Computer. 

Apache Parquet er et kolonneorienteret lagringsformat, som ifølge Bleeping Computer anvendes i mange stordata- og analyseplatforme – herunder Amazon Web Services, Microsoft Azure og Google Cloud. Sårbarheden findes i komponenten parquet-avro, hvor deserialisering af ondsindede Parquet-filer kan føre til eksekvering af kode uden brugerinteraktion. Fejlen har eksisteret siden version 1.8.0 og er først blevet lukket i version 1.15.1.

Værktøj kigger efter sårbare servere

Det offentliggjorte værktøj giver mulighed for at scanne efter og identificere systemer, der stadig anvender en sårbar version af Parquet. Ifølge BleepingComputer gør værktøjet det lettere at automatisere angreb og sænker dermed tærsklen for potentielt misbrug.

Offentliggørelsen af POC’en øger frygten for, at der finder udnyttelser sted. Der er endnu ikke rapporteret om egentlig udnyttelse in-the-wild, men der advares om, at angrebet er teknisk muligt og praktisk anvendeligt. EPSS-scoren er dog stadig 0 pct, men det kan naturligvis ændre sig.