CVE-2021-29428

Gradle'ın 7.0 öncesi sürümlerinde, Unix benzeri sistemlerde, sistem geçici dizini birden fazla kullanıcının içinde dosya oluşturmasına ve silmesine izin veren açık izinlerle oluşturulabilir. Gradle derlemeleri, bir saldırganın sistem geçici dizinindeki dosyaları hızla silip yeniden oluşturmasıyla yerel yetki yükseltmeye karşı savunmasız olabilir. Bu güvenlik açığı, Kotlin DSL ile yazılmış önceden derlenmiş betik eklentilerini kullanan derlemeleri ve ProjectBuilder veya TestKit kullanılarak yazılan Gradle eklenti testlerini etkilemektedir. Windows veya güncel macOS sürümleri kullanıyorsanız bu durumdan etkilenmezsiniz. Sistem geçici dizininizde "sticky" biti ayarlanmış olan Unix benzeri bir işletim sistemi kullanıyorsanız etkilenmezsiniz. Sorun giderilmiş ve Gradle 7.0 ile yayınlanmıştır. Geçici bir çözüm olarak, Unix benzeri işletim sistemlerinde "sticky" bitinin ayarlı olduğundan emin olun; bu, yalnızca orijinal kullanıcının (veya root kullanıcısının) bir dosyayı silmesine izin verir. Sistem geçici dizininin izinlerini değiştiremiyorsanız, `java.io.tmpdir` System Property değerini ayarlayarak Java geçici dizinini taşıyabilirsiniz. Yeni yolun izinleri yalnızca derleme kullanıcısıyla sınırlandırılmalıdır. Ek ayrıntılar için ilgili GitHub Security Advisory'ye bakın.