یک آسیب‌پذیری بحرانی در کتابخانه Apache Parquet برای زبان Java ممکن است به مهاجمان اجازه دهد تا به‌طور کامل هر سیستم یا اپلیکیشنی که فایل‌های Parquet را پردازش می‌کند، تحت کنترل خود درآورند.
Apache Parquet یک فرمت فایل ستونی و متن‌باز برای ذخیره‌سازی و بازیابی داده‌هاست که از پردازش داده‌های پیچیده به صورت انبوه پشتیبانی می‌کند و توسط ابزارهای تحلیل داده متعددی در زبان‌های برنامه‌نویسی گوناگون مورد استفاده قرار می‌گیرد.
این آسیب‌پذیری بحرانی با شناسه CVE-2025-30065 و حداکثر شدت ۱۰ از ۱۰ به عنوان یک نقص «عدم دنباله‌سازی داده‌های غیرقابل‌اعتماد» در ماژول parquet-avro از کتابخانه مذکور شناخته می‌شود.
به گفته شرکت امنیت نرم‌افزار Endor Labs این آسیب‌پذیری می‌تواند سیستم‌های تحلیل داده و جریان‌های اطلاعاتی را که از فایل‌های Parquet استفاده می‌کنند به خطر بیندازد، به‌ویژه زمانی که این فایل‌ها از منابع خارجی یا غیرقابل‌اعتماد تهیه شده باشند. اگر مهاجمان بتوانند فایل‌ها را دستکاری کنند، این آسیب‌پذیری ممکن است فعال شود. بنابراین، این نقص امنیتی زمانی فعال می‌شود که سیستم، یک فایل Parquet دستکاری‌شده را پردازش کند که در نهایت منجر به اجرای کد از راه دور (RCE) می‌شود.
اکسپلویت آسیب‌پذیری CVE-2025-30065
با اکسپلویت این آسیب‌پذیری، مهاجمان می‌توانند کنترل کامل سیستم آسیب‌پذیر را در دست بگیرند، اطلاعات حساس را سرقت یا تغییر دهند، باج‌افزار و سایر بدافزارها را مستقر کنند یا خدمات را مختل کرده و شرایط انکار سرویس (DoS) ایجاد کنند.
Endor Labs هشدار می‌دهد که تمامی سیستم‌هایی که فایل‌های Parquet را از طریق چارچوب‌های داده‌کلان مانند Hadoop یا Spark می‌خوانند یا وارد می‌کنند و نیز اپلیکیشن‌هایی که از کد Java Parquet استفاده می‌کنند، در معرض خطر هستند.
اگر مطمئن نیستید که پشته نرم‌افزاری‌تان (مجموعه ابزارها و کتابخانه‌های نرم‌افزاری) از Parquet استفاده می‌کند یا نه، از توسعه‌دهندگان یا تأمین‌کنندگان نرم‌افزار خود سوال کنید زیرا بسیاری از راهکارهای ذخیره‌سازی و تحلیل داده‌ها این کتابخانه را در بر دارند.
با اینکه تاکنون شواهدی از سوءاستفاده فعال از CVE-2025-30065 وجود ندارد، شدت این نقص نشان می‌دهد که احتمال دارد به‌زودی به اهداف مهاجمان اضافه شود.
توصیه امنیتی
این نقص احتمالاً از نسخه 1.8.0 به بعد به کتابخانه اضافه شده و در نسخه 1.15.1 اصلاح شده است. با این حال، به کاربران توصیه می‌شود تمام نسخه‌های قبلی این کتابخانه را نیز بررسی کنند. توصیه می‌شود کاربران در اسرع وقت به نسخه 1.15.1 از Apache Parquet به‌روزرسانی کنند.
همچنین توصیه می‌شود در قبال فایل‌های Parquet دریافتی از منابع ناشناس یا مشکوک احتیاط کرده و حتی در صورت امکان، پردازش آن‌ها را به طور کامل متوقف کنند. پیاده‌سازی سامانه‌های مؤثر برای مانیتور و ثبت رفتارهای مشکوک نیز از دیگر اقدامات توصیه‌شده است.
Endor Labs نیز توصیه می‌کند که منتظر مشاوره‌های بعدی از سوی بنیاد Apache یا مراجع امنیت سایبری باشید. این آسیب‌پذیری در حال تحول است و ممکن است راهنمایی‌ها یا پچ‌های جدیدی منتشر شود. نصب به‌روزرسانی‌های توصیه‌شده برای تمامی نرم‌افزارها (نه فقط Parquet) و پیروی از تنظیمات ایمن، دفاع شما را تقویت خواهد کرد.
