Une vuln\u00e9rabilit\u00e9 de s\u00e9curit\u00e9 de gravit\u00e9 maximale a \u00e9t\u00e9 divulgu\u00e9e dans la biblioth\u00e8que Java d’Apache Parquet qui, si elle est exploit\u00e9e avec succ\u00e8s, pourrait permettre \u00e0 un attaquant distant d’ex\u00e9cuter du code arbitraire sur les instances sensibles.<\/p>\n
Apache Parquet est un format de fichier de donn\u00e9es colonnes gratuits et open source con\u00e7u pour un traitement et une r\u00e9cup\u00e9ration efficaces des donn\u00e9es, fournissant un support pour des donn\u00e9es complexes, une compression haute performance et des sch\u00e9mas de codage. Il a \u00e9t\u00e9 lanc\u00e9 pour la premi\u00e8re fois en 2013.<\/p>\n
La vuln\u00e9rabilit\u00e9 en question est suivie comme CVE-2025-30065<\/a><\/strong>. Il comporte un score CVSS de 10,0.<\/p>\n “L’analyse du sch\u00e9ma dans le module Parquet-AVRO d’Apache Parquet 1.15.0 et les versions pr\u00e9c\u00e9dentes permettent aux mauvais acteurs d’ex\u00e9cuter du code arbitraire”, ont d\u00e9clar\u00e9 les responsables du projet dans un avis.<\/p>\n Selon Endor Labs, l’exploitation r\u00e9ussie du d\u00e9faut n\u00e9cessite de tromper un syst\u00e8me vuln\u00e9rable pour lire un fichier de parquet sp\u00e9cialement con\u00e7u pour obtenir l’ex\u00e9cution de code.<\/p>\n “Cette vuln\u00e9rabilit\u00e9 peut avoir un impact dit<\/a>. “Si les attaquants peuvent alt\u00e9rer les fichiers, la vuln\u00e9rabilit\u00e9 peut \u00eatre d\u00e9clench\u00e9e.”<\/p>\n La lacune a un impact sur toutes les versions du logiciel jusqu’\u00e0 1,15.0. Il a \u00e9t\u00e9 abord\u00e9 dans la version 1.15.1. Keyi Li d’Amazon a \u00e9t\u00e9 reconnu pour d\u00e9couvrir et signaler la faille.<\/p>\n Bien qu’il n’y ait aucune preuve que la faille a \u00e9t\u00e9 exploit\u00e9e dans la nature, les vuln\u00e9rabilit\u00e9s dans les projets Apache sont devenues un paratonnerre pour les acteurs de menace qui cherchent \u00e0 violer de mani\u00e8re opportuniste et \u00e0 d\u00e9ployer des logiciels malveillants.<\/p>\n Le mois dernier, une faille de s\u00e9curit\u00e9 critique \u00e0 Apache Tomcat (CVE-2025-24813<\/a>Score CVSS: 9.8) a subi une exploitation active dans les 30 heures suivant la divulgation publique.<\/p>\n La soci\u00e9t\u00e9 de s\u00e9curit\u00e9 Cloud Aqua, dans une analyse publi\u00e9e cette semaine, a d\u00e9clar\u00e9 avoir d\u00e9couvert une nouvelle campagne d’attaque qui cible les serveurs Apache Tomcat avec des informations d’identification faciles \u00e0 deviner pour d\u00e9ployer des charges utiles crypt\u00e9es qui sont con\u00e7ues pour voler des r\u00e9f\u00e9rences SSH pour les mouvements lat\u00e9raux et finalement \u00e0 d\u00e9tourner les ressources syst\u00e8me pour une mine de crypto-monnaie illicite.<\/p>\n Les charges utiles sont \u00e9galement capables d’\u00e9tablir de la persistance et d’agir en tant que shell Web bas\u00e9 sur Java qui “permet \u00e0 l’attaquant d’ex\u00e9cuter un code Java arbitraire sur le serveur”, Assaf Morag, directeur de l’intelligence des menaces \u00e0 Aqua, dit<\/a>.<\/p>\n “En outre, le script est con\u00e7u pour v\u00e9rifier si l’utilisateur a des privil\u00e8ges racine et si c’est le cas, il ex\u00e9cute deux fonctions qui optimisent la consommation de processeur pour de meilleurs r\u00e9sultats de cryptominage.”<\/p>\n La campagne, qui affecte les syst\u00e8mes Windows et Linux, est probablement \u00e9valu\u00e9e comme le travail d’un acteur de menace chinois en raison de la pr\u00e9sence de commentaires en chinois dans le code source.<\/p>\n <\/p>\n![\"Cybers\u00e9curit\u00e9\"](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2025\/04\/Le-defaut-critique-dans-Apache-Parquet-permet-aux-attaquants-distants.jpg\")
<\/a><\/center><\/div>\n<\/a><\/div>\n<\/a><\/center><\/div>\n