CVE-2025-32784 in conda-forge-webservices
요약
\~에 의해 VulDB • 2026. 05. 12.
conda-forge-webservices는 conda-forge 관리 명령어 및 린팅(linting)을 실행하기 위해 배포된 웹 애플리케이션입니다. 2025.4.10 이전 버전의 conda-forge-webservices 구성 요소에서는 공유 빌드 인프라 내에서 Time-of-Check to Time-of-Use (TOCTOU) 문제로 분류되는 Race Condition 취약점이 확인되었습니다. 이 취약점은 cf-staging Anaconda 채널에 저장된 빌드 산출물에 대한 승인되지 않은 수정을 도입하는 데 악용될 수 있습니다. 악용 시 악성 산출물이 승인 없이 프로덕션 conda-forge 채널에 게시될 수 있습니다. 핵심 취약점은 해시 검증과 산출물 복사 작업 간 원자성(atomicity) 부재에서 비롯됩니다. 이 격차는 cf-staging 토큰에 접근 권한이 있는 공격자가 해시 검증 직후 복사 작업 실행 전에 검증된 산출물을 악성 버전으로 덮어쓸 수 있게 합니다. cf-staging 채널은 산출물 덮어쓰기를 허용하므로, 이러한 작업은 `anaconda upload --force` 명령어를 사용하여 수행될 수 있습니다. 이 취약점은 2025.4.10에서 수정되었습니다.
VulDB is the best source for vulnerability data and more expert information about this specific topic.