CVE-2016-6199

Podatność w narzędziu Gradle podczas kopiowania lub archiwizacji plików symlinkowanych. Gradle rozwiązuje symlink, ale stosuje uprawnienia samego symlinka zamiast uprawnień pliku docelowego, co prowadzi do zbyt wysokich uprawnień plików wynikowych. Poprawiono w wersjach 7.6.3 i 8.4 oraz nowszych.

Gradle ma podatność na przejście ścieżki podczas rozpakowywania archiwów Tar, co może prowadzić do nadpisania ważnych plików w lokalizacjach, gdzie proces Gradle ma uprawnienia do zapisu. Atakujący może wykorzystać tę lukę, kontrolując źródło archiwum lub modyfikując proces budowy, aby współdziałał z złośliwym archiwum.

Gradle, narzędzie do automatyzacji budowy, ma podatność, która pozwala na zapisanie plików w niezamierzonym miejscu w systemie plików poprzez specjalnie skonstruowane koordynaty zależności. Może to prowadzić do zanieczyszczenia pamięci podręcznej zależności lub nadpisania ważnych plików.

Gradle przed wersją 7.2 zawiera podatność na zdalne wykonanie kodu w skryptach startowych generowanych przez plugin `application` oraz w skrypcie `gradlew`. Atakujący, który może zmienić zmienne środowiskowe użytkownika uruchamiającego skrypt, może doprowadzić do wykonania dowolnego kodu. Problem został naprawiony w Gradle 7.2 poprzez usunięcie użycia `eval` i wymuszenie użycia powłoki `bash`.

W Gradle przed wersją 7.0, na systemach typu Unix, systemowy katalog tymczasowy może być tworzony z otwartymi uprawnieniami, co pozwala wielu użytkownikom na tworzenie i usuwanie w nim plików. Kompilacje Gradle mogą być podatne na lokalną eskalację uprawnień przez atakującego, który szybko usuwa i odtwarza pliki w systemowym katalogu tymczasowym. Podatność dotyczy kompilacji używających prekompilowanych skryptów w Kotlin DSL oraz testów dla wtyczek Gradle napisanych przy użyciu ProjectBuilder lub TestKit. Jeśli używasz systemu Windows lub nowoczesnych wersji macOS, nie jesteś podatny. Jeśli używasz systemu Unix-like z ustawionym bitem "sticky" na systemowym katalogu tymczasowym, nie jesteś podatny. Problem został naprawiony i wydany w Gradle 7.0. Jako obejście, na systemach Unix-like, upewnij się, że bit "sticky" jest ustawiony. To pozwala tylko oryginalnemu użytkownikowi (lub rootowi) na usunięcie pliku. Jeśli nie możesz zmienić uprawnień systemowego katalogu tymczasowego, możesz przenieść katalog tymczasowy Javy, ustawiając właściwość systemową `java.io.tmpdir`. Nowa ścieżka musi ograniczać uprawnienia tylko do użytkownika budującego. Szczegóły w referencyjnym poradniku bezpieczeństwa GitHub.

W Gradle przed wersją 7.0 pliki tworzone z otwartymi uprawnieniami w systemowym katalogu tymczasowym mogą pozwolić atakującemu na dostęp do informacji pobranych przez Gradle. Niektóre kompilacje mogą być podatne na lokalne ujawnienie informacji, ponieważ pliki pobierane przez TextResourceFactory trafiają najpierw do systemowego katalogu tymczasowego. Jeśli nie używasz API TextResourceFactory, nie jesteś podatny.