Apache Parquet/IBM Db2 - CVE-2025-30065

Date de publication :

Une désérialisation non sécurisée dans le module parquet-avro d’Apache Parquet permet à un attaquant authentifié d’exécuter du code arbitraire.

Informations

La faille est activement exploitée : Non

Un correctif existe : Oui

Une mesure de contournement existe : Non

Risques

Exécution de code arbitraire

Exploitation

La vulnérabilité exploitée est du type
CWE-502: Deserialization of Untrusted Data

Détails sur l'exploitation
•    Vecteur d'attaque : Réseau
•    Complexité de l'attaque : Faible
•    Privilèges nécessaires pour réaliser l'attaque : Aucun
•    Interaction d'un utilisateur ayant accès au produit est-elle nécessaire : Non
•    L'exploitation de la faille permet d'obtenir des droits privilégiés : Non

Preuve de concept
Actuellement, aucune preuve de concept n'est disponible en sources ouvertes.

Systèmes ou composants affectés

Apache Parquet

Versions antérieures à 1.15.1

IBM Db2

Versions 11.1.x antérieures à 11.1.4.7
Versions 11.5.x antérieures à 11.5.9
Version 12.1.0

Solutions ou recommandations

Mettre à jour Apache Parquet vers la version 1.15.1 ou ultérieure.
Mettre à jour IBM Db2 vers la version 11.1.4.7, 11.5.9, 12.1.0 ou ultérieure.
Des informations complémentaires sont disponibles dans le bulletin d’Apache et d’IBM.