PT-2020-19646 · Gradle · Com.Gradle.Plugin-Publish
Danny Thomas
·
Publicado
2020-03-30
·
Atualizado
2022-05-24
·
CVE-2020-7599
CVSS v3.1
6.5
Média
| Vetor | AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N |
Nome do software vulnerável e versões afetadas
Versões do com.gradle.plugin-publish anteriores à 0.11.0
Descrição
A vulnerabilidade permite a inserção de informações confidenciais em arquivos de log. Quando um autor de plugin publica um plugin Gradle enquanto executa o Gradle com o sinalizador de nível de log --info, o Gradle Logger registra uma URL pré-assinada da AWS. Se esse log de compilação for visível publicamente, como ocorre em muitos sistemas de CI públicos populares, como o TravisCI, essa URL pré-assinada da AWS permitiria que um agente mal-intencionado substituísse um plugin recém-carregado pelo seu próprio.
Recomendações
Para versões anteriores à 0.11.0, atualize para a versão 0.11.0 ou posterior para resolver o problema. Como solução alternativa temporária, considere evitar o uso do sinalizador de nível de log --info ao publicar plug-ins do Gradle para minimizar o risco de exploração. Restrinja o acesso aos logs de compilação para impedir que URLs pré-assinadas da AWS fiquem visíveis publicamente.
Correção
Insertion into Log File
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Com.Gradle.Plugin-Publish