Eine Schadcode-Sicherheitslücke betrifft Apache Parquet. Das spaltenbasierte Open-Source-Dateiformat wird im Big-Data-Kontext eingesetzt, um Daten effizienter zu speichern und abzufragen. Ein Sicherheitspatch steht zum Download bereit.
Wie aus einem Eintrag in der Openwall-Mailingliste hervorgeht, haben die Entwickler die Schwachstelle in der Version 1.15.1 geschlossen. Alle vorigen Ausgaben sind verwundbar. Die Lücke (CVE-2025-30065) gilt als "kritisch" und ist mit dem höchstmöglichen CVSS Score 10 von 10 eingestuft. Sie betrifft konkret das parquet-avro-Modul der Java-Bibliothek von Apache Parquet.
Wie Sicherheitsforscher von Endor Labs in einem Bericht darlegen, können Angreifer mit präparierten Dateien an der Schwachstelle ansetzen. Aufgrund von unzureichenden Überprüfungen werden diese verarbeitet und es gelangt Schadcode auf Systeme. Im Anschluss können Angreifer unter anderem Malware installieren und Computer vollständig kompromittieren.
Die Forscher gehen davon aus, dass alle Applikationen, die Apache Parquet nutzen, angreifbar sind. Das betrifft somit auch Systeme, die Parquet-Dateien im Kontext von Big-Data-Frameworks wie Hadoop oder Spark verarbeiten. Admins sollten unbedingt prüfen, ob sie Apache Parquet an irgendeiner Stelle nutzen.
Bislang gibt es den Forschern zufolge keine Hinweise auf Angriffe. Aufgrund der kritischen Einstufung der Lücke sollten Admins das Sicherheitsupdate aber so schnell wie möglich installieren. Ist das nicht umgehend möglich, sollte die Verarbeitung von Parquet-Dateien streng überwacht werden. Demzufolge sollte ein lückenloses Monitoring und Logging stattfinden.
(
Kommentare