Kritiek Apache Parquet-lek maakt remote code execution mogelijk

[Captain Kirk]

Een kritieke kwetsbaarheid in de Apache Parquet Java-library maakt het mogelijk voor een aanvallers om op afstand willekeurige code op systemen uit te voeren. De impact van het beveiligingslek is op een schaal van 1 tot en met 10 beoordeeld met een 10.0. Apache Parquet is een bestandsformaat bedoeld voor de "efficiënte opslag van data".

Elke applicatie of service die gebruikmaakt van Apache Parquet Java library versie 1.15.0 of eerder is kwetsbaar, waaronder systemen die Parquet-bestanden lezen of importeren, zoals de populaire big data-frameworks Hadoop, Spark en Flink. Wanneer een aanvaller een kwetsbaar systeem een speciaal geprepareerd Parquet-bestand kan laten verwerken kan dit tot remote code execution leiden. Ook is het mogelijk om data te stelen of manipuleren of systemen te verstoren, aldus securitybedrijf Endor Labs.

Het probleem is verholpen in Apache Parquet versie 1.15.1 die op 16 maart verscheen. De aanwezigheid van de kwetsbaarheid is nu pas bekendgemaakt.

 

bron: https://www.security.nl