PT-2021-14444 · Unknown · Gradle-Vagrant-Plugin

Jlleitschuh · Publicado 2021-03-09 · Atualizado 2021-03-16 · CVE-2021-21361

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.4

Alta

Vetor base

AV:A/AC:L/PR:N/UI:N/S:C/C:H/I:N/A:N

Nome do software vulnerável e versões afetadas

com.bmuschko:gradle-vagrant-plugin versões anteriores à 3.0.0

Descrição

O plugin Gradle com.bmuschko:gradle-vagrant-plugin contém uma falha de divulgação de informações devido ao registro de variáveis de ambiente do sistema. Quando esse plugin é executado em CI/CD público, isso pode levar à exposição de credenciais confidenciais a agentes mal-intencionados.

Recomendações

Para versões anteriores à 3.0.0, atualize para a versão 3.0.0 para resolver o problema. Como solução alternativa temporária, considere desativar o registro de variáveis de ambiente do sistema até que um patch esteja disponível. Restrinja o acesso a credenciais confidenciais em ambientes de CI/CD públicos para minimizar o risco de exploração.

Exploit

Correção

Insertion into Log File

Enumeração de Fraquezas

CWE-532

Identificadores relacionados

CVE-2021-21361

GHSA-JPCM-4485-69P7

Produtos afetados

Gradle-Vagrant-Plugin

Referências · 9

• 🔥 https://github.com/bmuschko/gradle-vagrant-plugin/blob/292129f9343d00d391543fae06239e9b0f33db73/src/main/groovy/com/bmuschko/gradle/vagrant/process/GDKExternalProcessExecutor.groovy#L42-L44 · Exploit
• 🔥 https://github.com/JLLeitschuh/security-research/security/advisories/GHSA-jpcm-4485-69p7 · Exploit
• https://github.com/bmuschko/gradle-vagrant-plugin/pull/20 · Correção
• https://github.com/bmuschko/gradle-vagrant-plugin/issues/19 · Correção
• https://nvd.nist.gov/vuln/detail/CVE-2021-21361 · Nota de Segurança
• https://osv.dev/vulnerability/GHSA-jpcm-4485-69p7 · Aviso do Fabricante
• https://t.me/cvenotify/11012 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2021-21361 · Aviso do Fabricante
• https://t.me/cibsecurity/24585 · Publicação no Telegram