Conda è un gestore open-source di pacchetti e ambienti usato per installare software e isolare le dipendenze, soprattutto nei flussi di lavoro Python e data science. Aiuta i team a creare ambienti riproducibili risolvendo le versioni dei pacchetti e generando i file necessari per eseguire gli strumenti installati.
Nella sicurezza informatica, Conda è importante perché i metadati dei pacchetti vengono trasformati in modifiche reali del filesystem durante l'installazione. Se la validazione è debole, un pacchetto malevolo può abusare di quel processo per scrivere file in posizioni inattese, sovrascrivere wrapper o manipolare i percorsi. Questo rende Conda un obiettivo della supply chain nelle pipeline CI, nei sistemi di build e in altre installazioni automatizzate. I difensori riducono il rischio applicando rapidamente le patch, limitando la fiducia nei pacchetti di terze parti e trattando i metadati in fase di installazione come input non attendibile.