PT-2021-18205 · Gradle+2 · Gradle+2
Big-Guy
+1
·
Publicado
2021-04-12
·
Atualizado
2024-04-05
·
CVE-2021-29429
CVSS v3.1
5.5
Média
| Vetor | AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N |
**Nome do software vulnerável e versões afetadas:
Versões do Gradle anteriores à 7.0
Descrição:
A vulnerabilidade permite que um invasor acesse informações baixadas pelo Gradle devido a arquivos criados com permissões de acesso aberto no diretório temporário do sistema. Isso pode levar à divulgação de informações localmente, afetando particularmente as compilações que utilizam a API
TextResourceFactory. Informações confidenciais contidas nos arquivos baixados podem ficar expostas a outros usuários locais no mesmo sistema. A partir do Gradle 7.0, o diretório temporário do sistema não é mais utilizado; em vez disso, é utilizado o diretório Home do usuário do Gradle, que é restrito ao usuário que está executando a compilação por padrão.Recomendações:
Para versões anteriores à 7.0, como solução temporária, considere definir um umask mais restritivo que remova o acesso de leitura para outros usuários. Isso impedirá que arquivos criados no diretório temporário do sistema fiquem acessíveis a outros usuários. Alternativamente, se você não conseguir alterar o umask do seu sistema, pode mover o diretório temporário do Java definindo a propriedade do sistema
java.io.tmpdir para um novo caminho que limite as permissões apenas ao usuário da compilação.Exploit
Correção
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Debian
Gradle
Suse