CVE-2026-53956 in py-rattler
요약
\~에 의해 VulDB • 2026. 09. 09.
Rattler는 conda 생태계 내에서 사용되는 공통 기능을 제공하는 라이브러리입니다. 버전 0.9.0 미만의 `rattler_cache` 및 버전 0.24.0 미만의 `py-rattler`는 conda 채널에서 패키지 메타데이터를 처리할 때 패키지 캐시 경로 트래버설 취약점에 노출되어 있었습니다. 캐시 매터리얼라이제이션 중, `ratter_cache` 코드는 파일 시스템 경로에 결합되는 캐시 키의 일부로 패키지 레코드 `build` 문자열을 사용했습니다. 악성 또는 신뢰할 수 없는 채널은 해당 필드에 경로 구분자나 트래버설 구성 요소를 포함하는 repodata를 게시하여 패키지 내용이 구성된 패키지 캐시 디렉토리 외부에 작성되도록 할 수 있습니다. 이 취약점은 악성 또는 기타 신뢰할 수 없는 conda 채널의 사용이 필요합니다. 패키지 메타데이터를 검증하는 큐레이션된 채널은 이러한 형태의 잘못된 build 문자열을 허용하지 않을 것으로 예상됩니다. 사용자는 `rattler_cache` 버전 0.9.0 또는 `py-rattler` 버전 0.24.0으로 업그레이드하고 신뢰할 수 없는 conda 채널 사용을 피해야 합니다.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.