PT-2025-25658 · Conda Forge · Conda-Forge-Webservices

H4Pp1N3Ss · Publicado 2025-06-17 · Atualizado 2025-06-17 · CVE-2025-49842

Positive Technologies (AI Summary) · Pt

CVSS v4.0

1.0

Baixa

Vetor base

AV:L/AC:L/AT:N/PR:N/UI:A/VC:L/VI:L/VA:L/SC:N/SI:N/SA:N/E:U

Nome do Software Vulnerável e Versões Afetadas Versões do conda-forge-webservices anteriores a 2025.3.24

Descrição A aplicação web conda-forge-webservices, utilizada para executar comandos de administração e linting do conda-forge, apresenta um problema onde o container Docker conda forge webservice executa comandos sem especificar um usuário, assumindo o usuário root por padrão. Isso aumenta o risco de escalonamento de privilégios e comprometimento do host caso uma vulnerabilidade seja explorada.

Recomendações Para versões anteriores a 2025.3.24, atualize para a versão 2025.3.24 para resolver o problema. Como solução temporária, considere configurar o container Docker para executar como um usuário não root até que o patch seja aplicado.

Exploit

Correção

LPE

Incorrect Default Permissions

Enumeração de Fraquezas

CWE-276

Identificadores relacionados

CVE-2025-49842

GHSA-3CJ6-WC22-WVPV

Produtos afetados

Conda-Forge-Webservices

Referências · 7

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2025/49xxx/CVE-2025-49842.json · Exploit
• https://github.com/conda-forge/conda-forge-webservices/security/advisories/GHSA-3cj6-wc22-wvpv · Nota
• https://github.com/conda-forge/conda-forge-webservices/commit/c28b67f833f32299cc47eef8ad226ca991db67ae · Nota
• https://osv.dev/vulnerability/CVE-2025-49842 · Aviso do Fabricante
• https://twitter.com/VulmonFeeds/status/1934984133962236029 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2025-49842 · Nota de Segurança
• https://twitter.com/CVEnew/status/1934984675325563292 · Publicação no Twitter