CVE-2023-26053
Təsvir
Gradle, qurma avtomatlaşdırılmasına və çoxdilli proqram təminatı hazırlanmasına yönəlmiş bir qurma alətidir. Bu, PGP açarları üçün uzun ID-lərə (64 bit) qarşı toqquşma hücumudur (collision attack). Gradle-da asılılıqların yoxlanılmasından istifadə edən istifadəçilər, əgər onlar asılılıqların yoxlanılması meta məlumat faylında `trusted-key` və ya `pgp` elementində PGP açarları üçün uzun ID-lərdən istifadə edirlərsə, bu zəifliyə məruz qalırlar. Həll yolu, asılılıqların yoxlanılması meta məlumatlarında etibar elementində barmaq izindən (fingerprint) başqa hər hansı bir şey istifadə edildikdə asılılıqların yoxlanılmasının uğursuz olduğunu bildirməkdir. Problem Gradle 8.0 və daha yeni versiyalarda aradan qaldırılmışdır. Problem həmçinin Gradle 6.9.4 və 7.6.1 versiyalarında da düzəldilmişdir. Müvəqqəti həll kimi, meta məlumatlardakı `trusted-key` və ya `pgp` elementi üçün yalnız tam barmaq izi ID-lərindən istifadə etmək bu problemlə qarşı mühafizə vasitəsidir.
Necə düzəltmək olar
- gradle gradle6.9.4, 7.6.1 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| gradle gradle | 6.2.0 ≤ v < 6.9.4, 7.0.0 ≤ v < 7.6.1 | 6.9.4, 7.6.1 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.