Sparkle Signing Checks Bypass · CVE-2025-0509
漏洞详情
漏洞编号: CVE-2025-0509 严重等级: 高危 GitHub 公告状态: 已审核 发布时间: 2025年2月4日 更新时间: 2025年2月4日
受影响组件
包名: swift
项目: github.com/sparkle-project/Sparkle (Swift)
受影响版本: <= 2.6.3
已修复版本: 2.6.4
漏洞描述
在Sparkle 2.6.4之前的版本中发现一个安全漏洞。攻击者能够用另一有效载荷替换现有的已签名更新，从而绕过Sparkle的(Ed)DSA签名检查。
参考链接
- https://nvd.nist.gov/vuln/detail/CVE-2025-0509
- sparkle-project/Sparkle#2550
- https://security.netapp.com/advisory/ntap-20250124-0008
- https://sparkle-project.org/documentation/security-and-reliability
漏洞信息发布方
- 国家漏洞数据库: 2025年2月4日
- GitHub 公告数据库: 2025年2月4日
- 审核时间: 2025年2月4日
- 最后更新时间: 2025年2月4日
严重性评分
CVSS 总体评分: 7.4 (高危)
CVSS v3 基础指标
攻击向量: 邻接网络 攻击复杂度: 高 所需权限: 高 用户交互: 需要 影响范围: 已改变 机密性影响: 高 完整性影响: 高 可用性影响: 高
CVSS向量字符串: CVSS:3.1/AV:A/AC:H/PR:H/UI:R/S:C/C:H/I:H/A:H
EPSS 评分
分数: 0.074% (第23百分位数) 此分数预测该漏洞在未来30天内被利用的概率。数据由FIRST提供。
关联弱点
弱点: CWE-552 - 外部各方可访问的文件或目录 描述: 产品使文件或目录可被未经授权的参与者访问，尽管它们本不应如此。
标识符
- CVE ID: CVE-2025-0509
- GHSA ID: GHSA-wc9m-r3v6-9p5h
源代码仓库
sparkle-project/Sparkle