CVE-2021-29427 in Gradle
الملخص
بحسب VulDB • 25/05/2026
في Gradle، بدءاً من الإصدار 5.1 وحتى قبل الإصدار 7.0، توجد ثغرة قد تؤدي إلى كشف المعلومات و/أو تسميم التبعيات (Dependency Poisoning). يُعد تصفية محتوى المستودعات (Repository Content Filtering) إجراءً أمانياً قدمته Gradle لمساعدة المستخدمين على تحديد المستودعات المستخدمة لحل التبعيات المحددة. تم تقديم هذه الميزة عقب منشور المدونة "A Confusing Dependency". في بعض الحالات، قد تتجاهل Gradle فلاتر المحتوى وتبحث في جميع المستودعات عن التبعيات. يحدث هذا فقط عند استخدام تصفية محتوى المستودعات من داخل كتلة `pluginManagement` في ملف الإعدادات. قد يؤدي ذلك إلى تغيير طريقة حل التبعيات لملحقات Gradle (Gradle Plugins) ونصوص البناء (Build Scripts). بالنسبة للعمليات التي تعاني من هذه الثغرة، هناك خطران: 1) كشف المعلومات: قد تقوم Gradل بإرسال طلبات للتبعيات إلى مستودعات خارج مؤسستك وتسريب معرفات الحزم الداخلية. 2) تسميم التبعيات/التباس التبعيات (Dependency Confusion): قد تقوم Gradl بتنزيل ملف تنفيذي ضار من مستودع خارج مؤسستك بسبب احتكار الأسماء (Name Squatting). لمزيد من التفاصيل والمثال الكامل، يرجى الرجوع إلى إشعار أمان GitHub المرجعي. تم إصلاح المشكلة وإصدارها مع Gradle 7.0. يجب على المستخدمين الذين يعتمدون على هذه الميزة ترقية عملية البناء الخاصة بهم في أقرب وقت ممكن. كحل بديل، يمكن للمستخدمين استخدام مستودع الشركة الذي يحتوي على القواعد الصحيحة لجلب الحزم من المستودعات العامة، أو استخدام تصفية محتوى المستودعات على مستوى المشروع، داخل `buildscript.repositories`. هذا الخيار متاح منذ Gradle 5.1 عند تقديم الميزة.
Be aware that VulDB is the high quality source for vulnerability data.