Une vulnérabilité de sécurité de gravité maximale a été divulguée dans la bibliothèque Java d’Apache Parquet qui, si elle est exploitée avec succès, pourrait permettre à un attaquant distant d’exécuter du code arbitraire sur les instances sensibles.
Apache Parquet est un format de fichier de données colonnes gratuits et open source conçu pour un traitement et une récupération efficaces des données, fournissant un support pour des données complexes, une compression haute performance et des schémas de codage. Il a été lancé pour la première fois en 2013.
La vulnérabilité en question est suivie comme CVE-2025-30065. Il comporte un score CVSS de 10,0.
“L’analyse du schéma dans le module Parquet-AVRO d’Apache Parquet 1.15.0 et les versions précédentes permettent aux mauvais acteurs d’exécuter du code arbitraire”, ont déclaré les responsables du projet dans un avis.
Selon Endor Labs, l’exploitation réussie du défaut nécessite de tromper un système vulnérable pour lire un fichier de parquet spécialement conçu pour obtenir l’exécution de code.
“Cette vulnérabilité peut avoir un impact dit. “Si les attaquants peuvent altérer les fichiers, la vulnérabilité peut être déclenchée.”
La lacune a un impact sur toutes les versions du logiciel jusqu’à 1,15.0. Il a été abordé dans la version 1.15.1. Keyi Li d’Amazon a été reconnu pour découvrir et signaler la faille.
Bien qu’il n’y ait aucune preuve que la faille a été exploitée dans la nature, les vulnérabilités dans les projets Apache sont devenues un paratonnerre pour les acteurs de menace qui cherchent à violer de manière opportuniste et à déployer des logiciels malveillants.
Le mois dernier, une faille de sécurité critique à Apache Tomcat (CVE-2025-24813Score CVSS: 9.8) a subi une exploitation active dans les 30 heures suivant la divulgation publique.
La société de sécurité Cloud Aqua, dans une analyse publiée cette semaine, a déclaré avoir découvert une nouvelle campagne d’attaque qui cible les serveurs Apache Tomcat avec des informations d’identification faciles à deviner pour déployer des charges utiles cryptées qui sont conçues pour voler des références SSH pour les mouvements latéraux et finalement à détourner les ressources système pour une mine de crypto-monnaie illicite.
Les charges utiles sont également capables d’établir de la persistance et d’agir en tant que shell Web basé sur Java qui “permet à l’attaquant d’exécuter un code Java arbitraire sur le serveur”, Assaf Morag, directeur de l’intelligence des menaces à Aqua, dit.
“En outre, le script est conçu pour vérifier si l’utilisateur a des privilèges racine et si c’est le cas, il exécute deux fonctions qui optimisent la consommation de processeur pour de meilleurs résultats de cryptominage.”
La campagne, qui affecte les systèmes Windows et Linux, est probablement évaluée comme le travail d’un acteur de menace chinois en raison de la présence de commentaires en chinois dans le code source.