PT-2025-32302 · Uv · Uv

Calebbrown · Publicado 2025-08-07 · Atualizado 2025-10-11 · CVE-2025-54368

Positive Technologies (AI Summary) · Pt

CVSS v4.0

6.8

Média

Vetor base

AV:L/AC:L/AT:N/PR:N/UI:P/VC:N/VI:H/VA:N/SC:N/SI:N/SA:N

Nome do Software Vulnerável e Versões Afetadas Versões do uv 0.8.5 e anteriores

Descrição O uv é um gerenciador de pacotes e projetos Python escrito em Rust. As versões 0.8.5 e anteriores processavam arquivos ZIP remotos em fluxo, sem reconciliar as entradas de arquivo com o diretório central do arquivo. Isso permitia que um atacante criasse um arquivo ZIP que extraísse conteúdo legítimo em alguns instaladores de pacotes e conteúdo malicioso em outros, ou uma entrada ZIP "empilhada" com múltiplos ZIPs internos, que seria tratada de maneira diferente por diferentes instaladores de pacotes. Isso poderia ser usado para visar instaladores específicos.

Recomendações As versões do uv anteriores à 0.8.6 devem ser atualizadas. Como solução alternativa, defina a variável de ambiente UV INSECURE NO ZIP VALIDATION para 1 para reverter ao comportamento anterior.

Exploit

Correção

RCE

Enumeração de Fraquezas

CWE-436

CWE-20

Identificadores relacionados

CVE-2025-54368

ECHO-AB98-58E8-47AA

GHSA-8QF3-X8V5-2PJ8

OESA-2025-2098

OPENSUSE-SU-2025:15429-1

Produtos afetados

Uv

Referências · 21

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2025/54xxx/CVE-2025-54368.json · Exploit
• https://github.com/astral-sh/uv · Nota
• https://github.com/astral-sh/uv/security/advisories/GHSA-8qf3-x8v5-2pj8 · Nota
• https://github.com/astral-sh/uv/commit/7f1eaf48c193e045ca2c62c4581048765c55505f · Nota
• https://suse.com/security/cve/CVE-2025-54368 · Nota
• https://t.me/cveNotify/131352 · Publicação no Telegram
• https://twitter.com/Cezar_H_Linux/status/1958590880299851840 · Publicação no Twitter
• https://osv.dev/vulnerability/OESA-2025-2098 · Aviso do Fabricante
• https://t.me/CVEtracker/29480 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2025-54368 · Nota de Segurança
• https://reddit.com/r/Python/comments/1mk5uio/preventing_zip_parser_confusion_attacks_on_python · Publicação no Reddit
• https://osv.dev/vulnerability/CVE-2025-54368 · Aviso do Fabricante
• https://blog.pypi.org/posts/2025-08-07-wheel-archive-confusion-attacks · Nota
• https://osv.dev/vulnerability/openSUSE-SU-2025:15429-1 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2025-55159 · Nota de Segurança