📌 TL;DR (한줄 요약)
Parquet 파일 처리 시 악성 코드가 실행될 수 있는 심각한 취약점이 발견됐어요!
업데이트는 필수! 🔒
💡 이게 무슨 이야기인가요?
최근 Apache Parquet라는 데이터 포맷을 사용하는 프로그램에서 아주 위험한 보안 구멍이 발견됐어요.
이름은 바로 CVE-2025-30065예요.
"어? Parquet가 뭐지?" 하시는 분들을 위해 간단히 설명드릴게요:
Parquet는 주로 대용량 데이터를 빠르게 저장하고 분석할 때 사용하는 '열 기반 파일 포맷'이에요.
예를 들어, Spark, Flink, Hadoop 같은 빅데이터 플랫폼에서 자주 사용돼요.
그런데 이 Parquet 파일을 처리하는 Java 라이브러리에 특수하게 조작된 파일을 주면,
공격자가 마음대로 코드를 실행할 수 있는 치명적인 문제가 있었던 거죠 😱
🚨 어떤 상황에서 위험할 수 있을까?
문제가 되는 부분은 parquet-avro라는 모듈이에요.
이 모듈은 Parquet ↔ Avro 데이터 간의 변환을 도와주는 역할을 해요.
이 모듈이 사용자가 올린 Parquet 파일의 내부 스키마(metadata) 를 처리할 때,
잘못된 객체를 역직렬화(deserialize)하면서 문제가 발생해요.
💣 역직렬화 취약점이란?
쉽게 말해, 공격자가 ‘몰래 짠 코드’를 파일 속에 숨겨두고, 프로그램이 이걸 '믿고' 실행해버리는 거예요.
🧪 예시 코드 (취약한 코드 시나리오)
import org.apache.parquet.avro.AvroParquetReader;
import org.apache.hadoop.fs.Path;
public class ParquetReaderExample {
public static void main(String[] args) throws Exception {
Path path = new Path("hdfs://example.com/malicious.parquet");
// 이 줄에서 문제가 터질 수 있어요 😨
AvroParquetReader<Object> reader = AvroParquetReader.builder(path).build();
Object record;
while ((record = reader.read()) != null) {
System.out.println(record);
}
}
}👆 위 코드에서 malicious.parquet이라는 조작된 파일을 열면, 공격자가 의도한 코드가 실행될 수 있어요.
💥 얼마나 심각한가요?
- 🧨 CVSS 점수: 10.0 (만점)
→ 이건 정말 심각하다는 뜻이에요. - 🎯 공격자는 파일 하나만으로 서버를 장악할 수 있어요
- 💰 기업 서비스나 클라우드 플랫폼이 대상이라면? 큰 피해로 이어질 수 있어요!
✅ 어떻게 대응하면 될까요?
1. 📦 라이브러리 버전 업데이트
반드시 아래 버전으로 업그레이드하세요!
| 라이브러리 | 안전한 버전 |
| parquet-avro | 1.15.1 이상 |
2. 🔍 외부 Parquet 파일 처리 시 검증 필수
- 외부에서 업로드된 파일은 꼭 신뢰 여부 확인하세요!
- 샌드박스 환경에서 열어보고, 이상한 행동이 없는지 검사하세요.
3. 🧑💻 입력값을 역직렬화하지 말고 명시적으로 파싱하세요
// 안전한 스키마 사용 예시
String schemaString = "{ \"type\": \"record\", \"name\": \"User\", \"fields\": [{\"name\": \"id\", \"type\": \"int\"}] }";
Schema schema = new Schema.Parser().parse(schemaString);
// 이렇게 명시적으로 스키마를 설정하고 사용하세요🤔 이게 우리 회사에도 영향이 있을까요?
다음 중 하나라도 해당된다면 확인해보세요! 👇
✅ Java 기반의 Spark, Hadoop, Flink, Kafka 환경에서 Parquet 처리 중이다
✅ 외부에서 사용자 업로드 Parquet 파일을 받는 서비스다
✅ 라이브러리 버전을 체크해본 적이 없다
그렇다면... 지금 바로 점검하세요! 🔍
✍️ 마무리 한 줄 정리
💬 "Parquet 쓴다고 다 위험한 건 아니지만, 업데이트 안 하면 진짜 위험해요!"
🚀 안전한 데이터 처리를 위해 항상 최신 버전 유지와 검증 로직을 챙기세요!