CVE-2021-29429
Açıklama
Gradle 7.0 öncesi sürümlerde, sistem geçici dizininde açık izinlerle oluşturulan dosyalar, bir saldırganın Gradle tarafından indirilen bilgilere erişmesine olanak tanıyabilir. Bazı derleme işlemleri yerel bilgi ifşasına karşı savunmasız olabilir. TextResourceFactory aracılığıyla erişilen uzak dosyalar önce sistem geçici dizinine indirilir. Bu dosyaların içerdiği hassas bilgiler, aynı sistemdeki diğer yerel kullanıcılara ifşa edilebilir. `TextResourceFactory` API'sini kullanmıyorsanız bu durumdan etkilenmezsiniz. Gradle 7.0 itibarıyla, sistem geçici dizini kullanımı Gradle User Home dizinine taşınmıştır. Varsayılan olarak bu dizin, derlemeyi çalıştıran kullanıcı ile sınırlandırılmıştır. Geçici bir çözüm olarak, diğer kullanıcıların okuma erişimini kaldıran daha kısıtlayıcı bir umask ayarlayın. Dosyalar sistem geçici dizininde oluşturulduğunda, diğer kullanıcılar tarafından erişilemeyecektir. Sisteminizin umask ayarını değiştiremiyorsanız, `java.io.tmpdir` System Property değerini ayarlayarak Java geçici dizinini taşıyabilirsiniz. Yeni yolun, izinleri yalnızca derleme kullanıcısıyla sınırlaması gerekir.
Nasıl düzeltilir
- gradle gradle7.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| gradle gradle | v < 7.0 | 7.0 |
| quarkus quarkus | v ≤ 2.2.3 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.