CVE-2021-32751

Gradle qurma avtomatlaşdırılmasına yönəlmiş bir build alətidir. 7.2 versiyasından əvvəlki versiyalarda, `application` plagini tərəfindən yaradılan start skriptləri və `gradlew` skripti, hücum edən şəxs skripti işlədən istifadəçi üçün mühit dəyişənlərini (environment variables) dəyişdirə bildiyi təqdirdə ixtiyari kodun icrasına qarşı həssasdır. Bu, Unix-bənzəri sistemlərdə `gradlew`-dən istifadə edənlərə və ya öz tətbiqlərində Gradle tərəfindən yaradılan skriptlərdən Unix-bənzəri sistemlərdə istifadə edənlərə təsir göstərə bilər. Bu zəifliyin istismar edilməsi üçün hücum edən şəxs müəyyən mühit dəyişənlərinin dəyərini təyin etməli və bu dəyişənlər həssas skriptlər tərəfindən görünməli olmalıdır. Bu problem Gradle 7.2 versiyasında `eval` istifadəsini ləğv etməklə və `bash` shell-inin istifadəsini tələb etməklə aradan qaldırılmışdır. Bir neçə alternativ həll yolu mövcuddur. Gradle build alətindən istifadə edən CI/CD sistemləri üçün etibarsız istifadəçilərin `gradlew` skriptini icra edən istifadəçi üçün mühit dəyişənlərini dəyişdirə bilməməsi təmin edilə bilər. Əgər Gradle 7.2 versiyasına yeniləmək mümkün deyilsə, Gradle 7.2 ilə yeni `gradlew` skripti yaradılıb Gradle-ın köhnə versiyaları üçün istifadə edilə bilər. Gradle tərəfindən yaradılan start skriptlərindən istifadə edən tətbiqlərdə etibarsız istifadəçilərin start skriptini icra edən istifadəçi üçün mühit dəyişənlərini dəyişdirə bilməməsi təmin edilə bilər. Həssas start skripti, `eval` istifadəsini və ya tətbiqin komanda sətrinə təsir edən mühit dəyişənlərinin istifadəsini ləğv etmək üçün əllə düzəldilə bilər. Tətbiq kifayət qədər sadədirsə, tətbiqi birbaşa Java komandası ilə işlədərək start skriptlərinin istifadəsindən qaçmaq olar.