Apache Avro Java 软件开发工具包（SDK）中存在一个严重漏洞

Apache Avro Java 软件开发工具包（SDK）中存在一个严重漏洞（跟踪编号为 CVE-2024-47561），该漏洞可允许在易受攻击的实例上执行任意代码。

该漏洞被追踪为 CVE-2024-47561，影响 1.11.4 之前的所有软件版本。

Avro Java 软件开发工具包（SDK）是在 Java 应用程序中使用 Apache Avro 的工具包。Apache Avro 是作为 Apache Hadoop 项目的一部分开发的数据序列化框架。它为结构化数据的序列化提供了一种紧凑、快速和高效的方法，这使它在涉及大数据、流或分布式系统的应用中特别有用。

“Apache Avro 1.11.3 及以前版本的 Java SDK 中的模式分析允许恶意程序执行任意代码。建议用户升级到 1.11.4 或 1.12.0 版本，它们修复了这个问题。

该漏洞会影响任何允许用户提供自己的 Avro 模式进行解析的应用程序。

来自 Databricks security 的安全研究员 Kostya Kortchinsky 向 Avro 团队报告了这一漏洞。