CVE-2022-31156

Gradle bir derleme aracıdır. Bağımlılık doğrulaması, Gradle Build Tool'da harici bağımlılıkların ya sağlama toplamları (checksum) ya da kriptografik imzaları aracılığıyla doğrulanmasına olanak tanımak için tanıtılmış bir güvenlik özelliğidir. 6.2 ile 7.4.2 arasındaki sürümlerde, Gradle'ın bu doğrulamayı atlayabileceği ve normalde derlemeyi başarısız kılacak bir bağımlılığı güvenilmeyen bir harici artefakt olarak kabul edebileceği bazı durumlar bulunmaktadır. Bu iki şekilde gerçekleşebilir: İmza doğrulaması devre dışı olduğunda ancak doğrulama meta verileri yalnızca `gpg` öğesine sahip olup `checksum` öğesine sahip olmayan bağımlılıklar için girdiler içerdiğinde. İmza doğrulaması etkin olduğunda, doğrulama meta verileri `gpg` öğesi olan bağımlılıklar için girdiler içeriyor ancak uzak depoda imza dosyası bulunmadığında. Her iki durumda da doğrulama işlemi, imza doğrulamasını atlayarak ve bağımlılığın sağlama toplamı girdisinin olmadığına dair uyarı vermeyerek bağımlılığı kabul edecektir. Savunmasız derlemeler için iki risk bulunmaktadır: Gradle, isim çömelmesi (name squatting) nedeniyle kuruluşunuz dışındaki bir depodan kötü amaçlı bir ikili dosya indirebilir. Bağımlılıkları indirmek için hala HTTPS yerine yalnızca HTTP kullananlar için, derleme beklenen kütüphane yerine kötü amaçlı bir kütüphane indirebilir. Gradle 7.5, nedeni ne olursa olsun imza doğrulaması tamamlanamazsa sağlama toplamı doğrulamasının çalıştırıldığından emin olarak bu sorunu gidermektedir. İki geçici çözüm mevcuttur: İmza doğrulamasını devre dışı bıraktıysanız bağımlılık doğrulama meta verilerinden tüm `gpg` öğelerini kaldırın ve/veya imza dosyalarına sahip olmayan bağımlılıklar için `gpg` girdileri eklemekten kaçının.