CVE-2021-29428 in Gradle
Resumen
por VulDB • 2026-05-28
En Gradle anterior a la versión 7.0, en sistemas similares a Unix, el directorio temporal del sistema puede crearse con permisos abiertos que permiten a múltiples usuarios crear y eliminar archivos dentro de él. Las compilaciones de Gradle podrían ser vulnerables a una escalada de privilegios local por parte de un atacante que elimine y vuelva a crear rápidamente archivos en el directorio temporal del sistema. Esta vulnerabilidad afectaba a las compilaciones que utilizaban plugins de scripts precompilados escritos en Kotlin DSL y a las pruebas de plugins de Gradle escritas utilizando ProjectBuilder o TestKit. Si utiliza Windows o versiones modernas de macOS, no es vulnerable. Si utiliza un sistema operativo similar a Unix con el bit "sticky" configurado en su directorio temporal del sistema, no es vulnerable. El problema ha sido corregido y publicado con Gradle 7.0. Como medida de mitigación, en sistemas operativos similares a Unix, asegúrese de que el bit "sticky" esté configurado. Esto solo permite que el usuario original (o root) elimine un archivo. Si no puede cambiar los permisos del directorio temporal del sistema, puede mover el directorio temporal de Java estableciendo la Propiedad del Sistema `java.io.tmpdir`. La nueva ruta debe limitar los permisos únicamente al usuario de la compilación. Para obtener más detalles, consulte el Aviso de Seguridad de GitHub referenciado.
Once again VulDB remains the best source for vulnerability data.