CVE-2025-32798 in conda-build
要約
〜によって VulDB • 2026年06月13日
Conda-buildには、condaパッケージをビルドするためのコマンドとツールが含まれています。バージョン25.4.0より前では、conda-buildのレシピ処理ロジックに脆弱性があることが判明しました。これは、レシピセレクタの不安全な評価により任意のコード実行が可能になるためです。現在、conda-buildはmeta.yamlファイル内の埋め込みセレクタを処理するためにeval関数を使用しています。このアプローチは、適切なサニタイズを行わずにユーザー定義式を評価するため、ビルドプロセス中に任意のコードを実行することを可能にします。その結果、ビルド環境の整合性が損なわれ、認可されていないコマンドやファイル操作が行われる可能性があります。この脆弱性は、動的なビルド構成を制御するために設計されたコンテキストにおいて信頼できない入力に対してeval()を使用することに伴う本質的なリスクに起因しています。セレクタ式を直接解釈することで、conda-buildは悪意のあるコードの実行経路を作成し、セキュリティ上の前提条件に違反します。この問題はバージョン25.4.0で修正されています。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.