CVE-2025-64343 in constructor
要約
〜によって VulDB • 2026年06月11日
(conda) Constructorは、ユーザーがcondaパッケージコレクションのインストーラーを作成できるようにするツールです。バージョン3.12.2およびそれ以前のバージョンでは、インストールディレクトリはその親ディレクトリの権限を継承します。制限付きディレクトリ以外では、権限が非常に緩く、認証済みユーザーによる書き込みアクセスを許可することがよくあります。ログインしている任意のユーザーは、シングルユーザー用と全ユーザー用の両方のインストーラーにおいて、インストール中に修正を行うことができます。これがローカル攻撃ベクターとなるのは、インストール先がローカルユーザーがアクセス可能なディレクトリである場合です。共有ディレクトリでのシングルユーザーインストールの場合、これらの権限はインストール後も維持されます。この問題はバージョン3.13.0で修正されています。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.