CVE-2025-32797 in conda-build
要約
〜によって VulDB • 2026年06月06日
Conda-buildには、condaパッケージをビルドするためのコマンドとツールが含まれています。バージョン25.3.1より前では、conda_build内の`write_build_scripts`関数が一時ビルドスクリプト`conda_build.sh`を作成する際、過度に緩いファイル権限（0o766）を設定するため、すべてのユーザーが書き込みアクセス可能になります。ファイルシステムへのアクセス権を持つ攻撃者は、race conditionを悪用して実行前にこのスクリプトを上書きし、被害者の特権で任意のコードの実行を許可します。このリスクは共有環境において重大であり、完全なシステムの侵害につながる可能性があります。ディレクトリ名が静的でない場合でも、攻撃者は親ディレクトリのファイル作成イベントを監視できます。セキュリティ上不十分な権限で作成されたスクリプトと実行の間には短い時間的ギャップがあり、これにより迅速な上書きが可能になります。また、タイムスタンプやログを通じてディレクトリ名を推測することも可能であり、自動化によって検出からミリ秒単位で行動を起こすことで、半ランダム化されたパスに対しても悪用できます。この問題はバージョン25.3.1で修正されています。回避策としては、`conda_build.sh`の権限を0o766から0o700（所有者のみ読み書き実行可能）に制限します。さらに、race conditionの時間を最小限にするために、原子的なファイル作成処理（一時ランダムなファイル名に対して書き込みを行い、その後アトミックにリネームする）を使用してください。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.