CVE-2020-15777 in Maven Extension Plugin
Riassunto
di VulDB • 16/06/2026
È stato rilevato un problema nel plugin Maven Extension per Gradle Enterprise, versione precedente alla 1.6. Il componente è vulnerabile all'Esecuzione di Codice Remoto (RCE) nei casi più gravi e a Escalation dei Privilegi Locale nella maggior parte degli scenari. Internamente, il plugin utilizza una connessione socket per inviare oggetti Java serializzati che vengono deserializzati da un'istanza della classe `ObjectInputStream` della libreria standard Java. Tale istanza di `ObjectInputStream` non era limitata a un elenco di classi attendibili, consentendo così a un attaccante di inviare una catena di gadget malevoli per la deserializzazione al fine di ottenere l'esecuzione del codice. Il socket non era vincolato esclusivamente all'indirizzo localhost (127.0.0.1). La porta assegnata a questo socket viene selezionata in modo casuale dalla JVM e non è intenzionalmente esposta al pubblico (né per progettazione né tramite documentazione).
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.