開源欄式儲存格式Apache Parquet含有可被執行任意程式碼的嚴重漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr"><a href="https://parquet.apache.org/blog/" target="_blank">Apache基金會在今年3月16日釋出了Apache Parquet Java 1.15.1</a>，默默地修補了可用來執行任意程式碼、被列為最高嚴重等級的CVSS 10.0漏洞CVE-2025-30065，影響Apache Parquet 1.15.0及之前的所有版本，<a href="https://www.openwall.com/lists/oss-security/2025/04/01/1" target="_blank">該漏洞於今年4月初被披露</a>，<a href="https://github.com/h3st4k3r/CVE-2025-30065" target="_blank">4月3日便出現該漏洞的概念性驗證程式</a>。</p> <p dir="ltr">Apache Parquet 為一開源的欄式儲存格式（Columnar Storage Format，直式），專門用來在大數據處理框架中儲存與查詢大量資料，不同於傳統的行式儲存（Row-based Storage，橫式），以欄位為單位更能有效率地壓縮及讀取特定欄位，被廣泛應用在大數據處理及分析平臺，包括Hadoop、Spark與Flink等大數據框架，亦有許多客製化應用程式整合了Parquet Java程式碼。</p> <p dir="ltr"><a href="https://www.endorlabs.com/learn/critical-rce-vulnerability-in-apache-parquet-cve-2025-30065---advisory-and-analysis" target="_blank">軟體供應鏈解決方案供應商Endor Labs指出</a>，CVE-2025-30065被歸類為反序列化不受信任的資料（Deserialization of Untrusted Data）漏洞，這類的漏洞可能影響匯入Parquet檔案的資料處理流程與分析系統，特別是當這些檔案來自外部或不可靠的來源時，若遭駭客竄改，便可能觸發漏洞。</p> <p dir="ltr">倘若駭客能夠誘導系統讀取惡意Parquet檔案，便有機會自遠端執行程式碼，得以完全掌控系統，竊取或竄改資料，也能植入惡意程式或中斷既有服務等。</p> <p dir="ltr">儘管該漏洞可能帶來嚴重的威脅，但先決條件是系統必須導入來自不可靠來源的Parquet檔案。<a href="https://techcommunity.microsoft.com/blog/microsoftdefendercloudblog/guidance-for-handling-cve-2025-30065-using-microsoft-security-capabilities/4401362" target="_blank">微軟認為</a>，此一狀況於大多數的生產環境中並不常見，因此於現實世界中遭到利用的可能性並不高。</p> <p dir="ltr">只是微軟也提醒，這並不代表它完全沒有風險，一個潛在的途徑是開發人員自Stack Overflow或GitHub等社群論壇導入範例 Parquet文件，並無意中於本地機器上執行了惡意程式碼。</p> </div></div></div>
