Средний

Опубликована

CVE-2025-54368

uv is vulnerable to ZIP payload obfuscation through parsing differentials

Публикация: 08.08.2025·Обновлена: 08.08.2025, 20:32·Europe/Moscow

Что произошло

Перевод ещё не доступен · оригинальное описание

uv is a Python package and project manager written in Rust. In versions 0.8.5 and earlier, remote ZIP archives were handled in a streamwise fashion, and file entries were not reconciled against the archive's central directory. An attacker could contrive a ZIP archive that would extract with legitimate contents on some package installers, and malicious contents on others due to multiple local file entries. An attacker could also contrive a "stacked" ZIP input with multiple internal ZIPs, which would be handled differently by different package installers. The attacker could choose which installer to target in both scenarios. This issue is fixed in version 0.8.6. To work around this issue, users may choose to set UV_INSECURE_NO_ZIP_VALIDATION=1 to revert to the previous behavior.

Что это значит

В источнике описана ошибка безопасности в перечисленных продуктах. Фактический риск зависит от установленной версии, конфигурации и доступности компонента; проверьте условия в первичном бюллетене.

Что делать

Сформировано автоматически из полей источников и общих шаблонов

Устранить в течение 30 дней

1. Проверьте, затронуты ли вы

Соберите инвентаризацию и сравните с таблицей затронутых версий. Эти команды только показывают установленные компоненты и сами по себе не доказывают наличие CVE.

Debian / Ubuntu

dpkg-query -W -f='${Package}	${Version}\n'

RHEL / AlmaLinux

rpm -qa --qf '%{NAME}\t%{VERSION}-%{RELEASE}\n'

Windows PowerShell

Get-HotFix | Select-Object HotFixID, InstalledOn

Общая рекомендация, не из бюллетеня вендора

2. Установите исправление

Сверьте точный продукт и версию с бюллетенем вендора. Установите указанное в нём исправление после резервного копирования и проверки совместимости. Подтверждённая целевая версия в источниках отсутствует.

Общая рекомендация, не из бюллетеня вендора

3. Временные меры

До проверки бюллетеня ограничьте доступ к затронутому компоненту доверенными узлами. Оцените сегментацию и отключение ненужных интерфейсов с владельцем сервиса; универсального правила WAF для этой CVE не подтверждено.

Общая рекомендация, не из бюллетеня вендора

4. Проверьте следы эксплуатации

Проверьте аномальные входы, новые учётные записи, ошибки и необычные дочерние процессы в затронутом сервисе. Публичные проверенные правила обнаружения не включены в запись; отсутствие сигналов не доказывает отсутствие компрометации.

Общая рекомендация, не из бюллетеня вендора

5. После исправления

Проверьте фактическую версию и результат установки по бюллетеню.
При необходимости перезапустите сервисы в согласованное окно.
Повторите проверку сканером и функциональные проверки.
Зафиксируйте результат, дату, владельца и оставшийся риск.

Продукты и затронутые версии

astral-sh / uv

{
  "status": "affected",
  "version": "< 0.8.6"
}

CVSS: оценки и векторы

CVSS 4.0 · cve6.8

CVSS:4.0/AV:L/AC:L/AT:N/PR:N/UI:P/VC:N/VI:H/VA:N/SC:N/SI:N/SA:N

AV · Вектор атакилокальный доступ

AC · Сложность атакинизкая

AT · Условия атакидополнительные условия не нужны

PR · Привилегиине нужны

UI · Участие пользователяпассивное

VC · Конфиденциальность уязвимой системынет

VI · Целостность уязвимой системывысокое

VA · Доступность уязвимой системынет

SC · Конфиденциальность связанной системынет

SI · Целостность связанной системынет

SA · Доступность связанной системынет

Классы CWE

CWE-436 ↗CWE-20 ↗

Источники и ссылки

Материал · github.com · cve Материал · github.com · cve Материал · astral.sh · cve Материал · blog.pypi.org · cve CVE Program · www.cve.org · CVE Program NVD · nvd.nist.gov · NVD

Происхождение полей

{
  "cwes": [
    "cve"
  ],
  "epss": {
    "source": "epss",
    "received_at": "2026-10-29T08:01:51.979945+00:00"
  },
  "title": {
    "source": "cve",
    "received_at": "2026-10-28T15:53:51.428486+00:00"
  },
  "scores": [
    "cve"
  ],
  "status": {
    "source": "cve",
    "received_at": "2026-10-28T15:53:51.428486+00:00"
  },
  "affected": [
    "cve"
  ],
  "published": {
    "source": "cve",
    "received_at": "2026-10-28T15:53:51.428486+00:00"
  },
  "solutions": [],
  "percentile": {
    "source": "epss",
    "received_at": "2026-10-29T08:01:51.979945+00:00"
  },
  "references": [
    "cve"
  ],
  "description": {
    "source": "cve",
    "received_at": "2026-10-28T15:53:51.428486+00:00"
  },
  "workarounds": [],
  "configurations": []
}

Хронология записи

Данные обновлены29.10.2026, 11:01
Опубликована28.10.2026, 18:53

Личная заметка и статус

Другие CVE того же продукта

УЯЗВИМОСТЬ / ПРОДУКТ	ПРИОРИТЕТ	CVSS	EPSS	ОПУБЛИКОВАНА
CVE-2025-13327 Uv: uv: specially crafted zip archives lead to arbitrary code execution due to parsing differentials astral-sh / uv · Red Hat / Red Hat OpenShift AI 3.0	Средний	6.3	0,17 %	27.02.2026
CVE-2026-114109 uv before 0.11.15 Arbitrary File Write via Entry Point Names astral-sh / uv	Высокий	8.7	0,38 %	21.10.2026
CVE-2025-71437 Astral uv through 0.8.21 Path Traversal via Symlinks in Sdist Tar Extraction astral-sh / uv	Высокий	8.7	0,34 %	21.10.2026
CVE-2026-114110 Astral uv before 0.11.6 Arbitrary File Deletion via Wheel RECORD Entries astral-sh / uv	Высокий	8.7	0,35 %	21.10.2026
CVE-2026-104843 uv: Path traversal on Windows through wheel extraction astral-sh / uv	Средний	5.9	0,43 %	02.10.2026