Vulnerabilidad en Melange (CVE-2025-54059)

Gravedad CVSS v3.1:

MEDIA

Tipo:

No Disponible / Otro tipo

Fecha de publicación:

18/07/2025

Última modificación:

22/07/2025

Descripción

Melange permite a los usuarios crear paquetes APK mediante pipelines declarativos. A partir de la versión 0.23.0 y anteriores a la 0.29.5, los archivos SBOM generados por Melange en APK tenían permisos de sistema de archivos en modo 666. Esto podría permitir que un usuario sin privilegios altere los SBOM de APK en una imagen en ejecución, lo que podría confundir a los escáneres de seguridad. Un atacante también podría realizar un ataque de DoS en circunstancias especiales. La versión 0.29.5 corrige el problema.

Impacto

Vector 3.x

CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:L CVSS v3.1 Severidad y Métricas:

Puntuación base: 4.40 MEDIA
Vector: CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:L

Vector de acceso (AV): Local
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Bajo
Interacción del usuario (UI): Ninguno
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Ninguno
Impacto a la integridad (I): Bajo
Impacto a la disponibilidad (A): Bajo

Puntuación base 3.x

4.40

Gravedad 3.x

MEDIA

Vulnerabilidad en Melange (CVE-2025-54059)

Descripción

Impacto

Referencias a soluciones, herramientas e información