CVE-2021-29428

Gradle-ın 7.0 versiyasından əvvəlki versiyalarında, Unix bənzəri sistemlərdə sistemin müvəqqəti kataloqu çox sayda istifadəçiyə orada faylların yaradılmasına və silinməsinə icazə verən açıq icazələrlə yaradıla bilər. Gradle build-ləri, hücum edənin sistemin müvəqqəti kataloqundakı faylları sürətlə silib yenidən yaratması vasitəsilə lokal imtiyazların yüksəldilməsi zəifliyinə məruz qala bilərdi. Bu zəiflik Kotlin DSL ilə yazılmış öncədən kompilyasiya edilmiş skript plaginlərini istifadə edən build-lərə və ProjectBuilder və ya TestKit istifadə edilərək yazılmış Gradle plagin testlərinə təsir göstərirdi. Əgər Windows və ya macOS-un müasir versiyalarını istifadə edirsinizsə, bu zəifliyə məruz deyilsiniz. Sisteminizin müvəqqəti kataloqunda "sticky" biti təyin edilibsə və Unix bənzəri əməliyyat sistemi istifadə edirsinizsə, siz də bu zəifliyə məruz deyilsiniz. Problem aradan qaldırılıb və Gradle 7.0 versiyası ilə buraxılıb. Müvəqqəti həll yolu kimi, Unix bənzəri əməliyyat sistemlərində "sticky" bitinin təyin edildiyindən əmin olun. Bu, yalnız orijinal istifadəçiyə (və ya root-a) faylı silməyə icazə verir. Sistemin müvəqqəti kataloqunun icazələrini dəyişə bilmirsinizsə, `java.io.tmpdir` System Property-ni təyin etməklə Java müvəqqəti kataloqunu köçürə bilərsiniz. Yeni yol icazələri yalnız build istifadəçisi ilə məhdudlaşdırmalıdır. Əlavə təfərrüatlar üçün istinad verilmiş GitHub Security Advisory-yə müraciət edin.