Apache Parket Java kütüphanesinde, özellikle Parke-Avro modülünde ciddi bir güvenlik açığı tespit edilmiştir.
CVE-2025-30065 olarak izlenen bu kusur, sistemleri potansiyel uzaktan kod yürütme (RCE) saldırılarına maruz bırakır.
En yüksek ciddiyet seviyesini gösteren 10.0 CVSS skoru ile kritik olarak derecelendirilmiştir. Kök neden, güvenilmeyen verilerin (CWE-502) serileştirilmesi olarak kategorize edilir.
Güvenlik açığı, özellikle güvenilmeyen veya harici kaynaklardan elde edilen dosyaları işleyen veya içe aktaran sistemleri etkiler.
Etkilenen ürünler
OpenWall raporlarına göre, sorun Apache Parket Java Kütüphanesi Sürümleri 1.15.0 ve daha önceki sürümlerde mevcuttur. 1.8.0 sürümünde tanıtıldı ve sonraki tüm sürümleri 1.15.0’a kadar savunmasız hale getirdi.
Popüler büyük veri ve analitik çerçeveler ve parke kütüphanesinden yararlanan özel uygulamalar etkilenir. Aşağıda etkilenen sürümlerin ve mevcut hafifletmenin bir özeti verilmiştir:
| Ürün/bileşen | Etkilenen sürümler | Sabit versiyon |
| Apache Parket Java (Parke-Avro) | 1.8.0 ila 1.15.0 | 1.15.1 |
Veri işleme için parka entegre olan Apache Hadoop, Spark veya Flink gibi çerçeveleri kullanan kuruluşlar, yamalı sürüme yükseltmeye en kısa sürede öncelik vermelidir.
Güvenlik açığı detayları ve potansiyel etki
Güvenlik açığı, parquet dosyalarında Avro şema meta verilerinin uygunsuz ayrıştırılmasından kaynaklanmaktadır.
Özellikle, hazırlanmış bir parke dosyası, parquet-avro modülünün serileştirme işleminden yararlanarak saldırganların hedeflenen sistemde keyfi kod yürütmesine izin verebilir.
Riskler:
- Uzaktan Kod Yürütme (RCE): Saldırganlar savunmasız sistemlerin tam kontrolünü kazanabilir.
- Veri ihlali ve kurcalama: Hassas bilgilere erişilebilir, değiştirilebilir veya çalınabilir.
- Kötü amaçlı yazılım dağıtım: Sistemler fidye yazılımı, kriptominerler veya diğer kötü amaçlı yazılımlar tarafından tehlikeye atılabilir.
- Hizmet Kesintisi: Sömürü Hizmet Reddetme (DOS) veya sistem yolsuzluğuna yol açabilir.
Etkilenen sistemler, gizlilik, dürüstlük ve kullanılabilirlikten tamamen ödün vermeyi riske atar – hafifletmeyi birinci öncelik haline getirir.
Nisan 2025 itibariyle vahşi doğada güvenlik açığının aktif olarak kullanılması bildirilmemiştir.
Bununla birlikte, bu güvenlik açığının açıklanması, saldırganların istedikleri zaman istismar geliştirebileceği anlamına gelir. Kuruluşlar sistemlerini güvence altına almak için proaktif hareket etmelidir.
Azaltma ve öneriler
Güvenlik açığını ele almak için kullanıcılara şunları sağlamaya şiddetle tavsiye edilir:
- Kütüphaneyi resmi düzeltmeyi içeren 1.15.1 sürümüne yükseltin.
- Güncelleme uygulanana kadar güvenilmeyen parquet dosyalarını işlemekten kaçının.
- Ekstra önlem için, potansiyel olarak kötü niyetli dosyaların ortaya koyduğu riski sınırlamak için kum havuzu veya giriş doğrulama mekanizmalarını uygulayın.
Güvenlik açığı Amazon’dan Keyi Li tarafından keşfedildi ve sorumlu bir şekilde açıklandı.
Organizasyonlar derhal harekete geçerek potansiyel sömürü önleyebilir ve veri işleme boru hatlarının güvenliğini artırabilir.
Find this News Interesting! Follow us on Google News, LinkedIn, & X to Get Instant Updates!