Apache Parquet Avro格式反序列漏洞

北京赛克艾威科技有限公司 2025-04-01

漏洞编号：CVE-2025-30065
漏洞等级：严重
漏洞标签：发布预警、公开漏洞
发布时间：2025-04-01

漏洞描述

Apache Parquet Java是一个开源的工具，用于优化大规模数据处理。其中parquet\-avro模块用于转换parquet格式与avro数据格式。在parquet\-avro 1.15.0 及之前的版本中，AvroConverters.java中的FieldStringableConverter方法未对传入的stringableClass对象进行校验操作，导致在将parquet文件转换为avro的过程中可实例化任意类并调用构造方法，攻击者可利用该特性传入恶意parquet文件，执行任意代码。修复版本通过checkSecurity函数来实现白名单限制，对传入的stringableClass对象进行校验，只允许受信任包下的stringableClass对象通过，限制反序列化的恶意类加载。