CVE-2025-32797 in conda-build
Resumen
por MITRE • 2025-06-16
Conda-build contiene comandos y herramientas para compilar paquetes conda. Antes de la versión 25.3.1, la función write_build_scripts de conda-build creaba el script de compilación temporal conda_build.sh con permisos de archivo excesivamente permisivos (0o766), lo que permitía el acceso de escritura a todos los usuarios. Los atacantes con acceso al sistema de archivos podían explotar una condición de ejecución para sobrescribir el script antes de su ejecución, lo que permitía la ejecución de código arbitrario con los privilegios de la víctima. Este riesgo es significativo en entornos compartidos y podría comprometer por completo el sistema. Incluso con nombres de directorio no estáticos, los atacantes pueden monitorizar los directorios principales para detectar eventos de creación de archivos. El breve intervalo entre la creación del script (con permisos inseguros) y su ejecución permite sobrescrituras rápidas. Los nombres de directorio también se pueden inferir mediante marcas de tiempo o registros, y la automatización permite la explotación incluso con rutas semi-aleatorizadas al actuar en milisegundos tras la detección. Este problema se ha corregido en la versión 25.3.1. Una solución alternativa consiste en restringir los permisos de conda_build.sh de 0o766 a 0o700 (solo lectura, escritura y ejecución del propietario). Además, utilice la creación atómica de archivos (escribir en un nombre de archivo temporal aleatorio y renombrarlo automáticamente) para minimizar la ventana de condición de ejecución.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.