PT-2025-25610 · Unknown · Conda Constructor

Stamparm · Publicado 2025-06-17 · Atualizado 2025-06-17 · CVE-2025-49823

Positive Technologies (AI Summary) · Pt

CVSS v3.1

Vetor base

AV:P/AC:H/PR:H/UI:R/S:C/C:N/I:N/A:N

Nome do Software Vulnerável e Versões Afetadas Versões do Conda Constructor anteriores à 3.11.3

Descrição A questão envolve o Conda Constructor, uma ferramenta para criar instaladores para pacotes conda. Em versões anteriores à 3.11.3, os scripts do instalador shell processam o prefixo de instalação utilizando um comando eval, que executa entradas de usuário não sanitizadas como código shell. Isso permite que um atacante injete comandos arbitrários através de um caminho malicioso durante a instalação, embora isso requira uma ação explícita do usuário. O script é executado com privilégios de usuário, e não de root.

Recomendações Para versões anteriores à 3.11.3, atualize para a versão 3.11.3 para resolver a questão. Como medida paliativa temporária, considere evitar o uso dos scripts do instalador shell até que a atualização seja aplicada.

Exploit

Correção

Command Injection

Enumeração de Fraquezas

CWE-77

Identificadores relacionados

CVE-2025-49823

GHSA-44Q9-RG2Q-5G99

Produtos afetados

Conda Constructor

Referências · 8

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2025/49xxx/CVE-2025-49823.json · Exploit
• https://github.com/conda/constructor/commit/ce4c2d58cfcde2f62d038fb8aba013176c77a0b1 · Nota
• https://github.com/conda/constructor/security/advisories/GHSA-44q9-rg2q-5g99 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2025-49823 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2025-49823 · Aviso do Fabricante
• https://twitter.com/CVEnew/status/1934807615478870355 · Publicação no Twitter
• https://t.me/cvetracker/26372 · Publicação no Telegram
• https://twitter.com/VulmonFeeds/status/1934853535604023454 · Publicação no Twitter