CVE-2023-26053
Açıklama
Gradle, derleme otomasyonuna odaklanan ve çok dilli geliştirme desteği sunan bir derleme aracıdır. Bu durum, PGP anahtarları için uzun kimliklere (64 bit) yönelik bir çakışma saldırısıdır. Gradle'da bağımlılık doğrulaması kullanan kullanıcılar, bağımlılık doğrulama meta veri dosyasındaki bir `trusted-key` veya `pgp` öğesinde PGP anahtarları için uzun kimlikler kullanıyorlarsa risk altındadır. Çözüm, bağımlılık doğrulama meta verisindeki bir güven öğesinde parmak izi dışında herhangi bir şey kullanıldığında bağımlılık doğrulamasının başarısız olmasıdır. Sorun Gradle 8.0 ve üzeri sürümlerde düzeltilmiştir. Sorun ayrıca Gradle 6.9.4 ve 7.6.1 sürümlerinde de yamalanmıştır. Geçici bir çözüm olarak, meta verideki `trusted-key` veya `pgp` öğesi için yalnızca tam parmak izi kimliklerinin kullanılması bu soruna karşı koruma sağlar.
Nasıl düzeltilir
- gradle gradle6.9.4, 7.6.1 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| gradle gradle | 6.2.0 ≤ v < 6.9.4, 7.0.0 ≤ v < 7.6.1 | 6.9.4, 7.6.1 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.