Una grave falla di sicurezza che permette l’esecuzione remota di codice (RCE) è stata individuata in tutte le versioni di Apache Parquet fino alla 1.15.0.
La vulnerabilità rappresenta un rischio concreto per le organizzazioni che utilizzano questa tecnologia ampiamente diffusa nell’ecosistema dei big data.
Indice degli argomenti
La vulnerabilità nel dettaglio: un rischio massimo
La falla, identificata come CVE-2025-30065, ha ottenuto il punteggio massimo di 10.0 sulla scala CVSS v4, classificandola come una minaccia di gravità estrema.
Il problema deriva dalla deserializzazione di dati non affidabili, che potrebbe consentire agli aggressori di:
- assumere il controllo dei sistemi target;
- estrarre o modificare dati sensibili;
- interrompere i servizi essenziali;
- introdurre payload dannosi come ransomware.
Per sfruttare questa vulnerabilità, gli attaccanti devono convincere qualcuno a importare un file Parquet appositamente manipolato. Nonostante tale requisito limiti parzialmente il rischio, la gravità della falla rimane considerevole dato l’ampio utilizzo di questo formato.
Cos’è Apache Parquet e perché è importante
Apache Parquet è un formato di archiviazione colonnare open-source progettato per l’elaborazione efficiente dei dati. A differenza dei formati basati su righe (come CSV), Parquet memorizza i dati per colonne, rendendo l’analisi più veloce e meno dispendiosa in termini di spazio.
La sua adozione è capillare nell’ecosistema dell’ingegneria dei dati e dell’analisi, includendo:
- piattaforme big data come Hadoop;
- servizi cloud di AWS, Amazon, Google e Azure;
- data lake e strumenti ETL.
Tra le grandi aziende che utilizzano Parquet figurano colossi come Netflix, Uber, Airbnb e LinkedIn, evidenziando la portata potenziale di questa vulnerabilità.
La scoperta e la divulgazione responsabile
La problematica di sicurezza è stata rivelata il primo aprile 2025, in seguito a una divulgazione responsabile da parte del suo scopritore, il ricercatore di Amazon Keyi Li.
“L’analisi dello schema nel modulo parquet-avro di Apache Parquet 1.15.0 e versioni precedenti consente agli attori malevoli di eseguire codice arbitrario”, ha avvertito il breve bollettino pubblicato su Openwall, che raccomanda agli utenti di aggiornare alla versione 1.15.1, che risolve il problema.
L’analisi approfondita degli esperti
Un bollettino separato di Endor Labs evidenzia in modo più chiaro il rischio di sfruttamento della CVE-2025-30065, avvertendo che la falla può influire su qualsiasi pipeline di dati e sistema analitico che importa file Parquet, con un rischio significativo per i file provenienti da fonti esterne.
Secondo Endor Labs, il problema sarebbe stato introdotto nella versione 1.8.0 di Parquet, sebbene anche le versioni precedenti potrebbero essere vulnerabili.
L’azienda suggerisce controlli coordinati con sviluppatori e fornitori per determinare quali versioni di Parquet sono utilizzate negli stack software di produzione.
Misure di mitigazione e raccomandazioni
“Se un attaccante induce un sistema vulnerabile a leggere un file Parquet appositamente creato, potrebbe ottenere l’esecuzione remota di codice su quel sistema”, avverte Endor Labs, pur evitando di gonfiare eccessivamente il rischio aggiungendo che “nonostante il potenziale allarmante, è importante notare che la vulnerabilità può essere sfruttata solo se viene importato un file Parquet malevolo”.
Contromisure suggerite
Per le organizzazioni che non possono aggiornare immediatamente ad Apache Parquet 1.15.1, gli esperti suggeriscono di:
- evitare l’uso di file Parquet non fidati;
- validare attentamente la sicurezza dei file prima di elaborarli;
- aumentare il monitoraggio e la registrazione dei log sui sistemi che gestiscono l’elaborazione Parquet.
Sebbene non siano stati ancora scoperti tentativi di sfruttamento attivo, il rischio rimane elevato a causa della gravità della falla e dell’uso diffuso dei file Parquet nelle applicazioni di big data.
Vulnerabilità in Apache Parquet: agire tempestivamente
Agli amministratori dei sistemi interessati viene raccomandato di aggiornare alla versione Parquet 1.15.1, che risolve la CVE-2025-30065, il prima possibile.
La vulnerabilità sottolinea ancora una volta l’importanza di mantenere aggiornati i componenti software, specialmente quelli che gestiscono dati potenzialmente non affidabili, e di implementare rigorosi controlli di sicurezza per proteggere le infrastrutture di elaborazione dati critiche.
