FICHE CVE

CVE-2025-64343

Publiée le 2025-11-07 · Dernière modification le 2026-06-17

🇫🇷 EN BREF

Les utilisateurs de l'outil Conda Constructor (version 3.12.2 et versions antérieures) sont concernés par des permissions par défaut non sécurisées sur les répertoires d'installation. Un utilisateur local disposant d'un accès de connexion basique peut exploiter cette faille pour modifier des fichiers pendant ou après l'installation, pouvant ainsi obtenir le contrôle total du logiciel installé. Cette attaque est facile à exécuter et ne nécessite aucun privilège particulier autre qu'un compte local sur le système.

CVSS 3.17.8 ÉLEVÉE

Type de faiblesse

CWE-289

Publiée2025-11-07

Dernière modification2026-06-17

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueLocal

Complexité d'attaqueFaible

Privilèges requisFaibles

Interaction utilisateurAucune

PortéeInchangée

Impact sur la confidentialitéÉlevé

Impact sur l'intégritéÉlevé

Impact sur la disponibilitéÉlevé

RÉFÉRENCES

Description officielle du NVD (en anglais)

(conda) Constructor is a tool that enables users to create installers for conda package collections. In versions 3.12.2 and below, the installation directory inherits permissions from its parent directory. Outside of restricted directories, the permissions are very permissive and often allow write access by authenticated users. Any logged in user can make modifications during the installation for both single-user and all-user installations. This constitutes a local attack vector if the installation is in a directory local users have access to. For single-user installations in a shared directory, these permissions persist after the installation. This issue is fixed in version 3.13.0.