CVE-2021-29428 in Gradle
要約
〜によって VulDB • 2026年05月25日
Gradle 7.0 より前のバージョンでは、Unix 系システムにおいて、システム一時ディレクトリが複数のユーザーがその内部でファイルの作成および削除を許可するオープンな権限で作成されることがあります。Gradle ビルドは、攻撃者がシステム一時ディレクトリ内のファイルを素早く削除して再作成することで、ローカル特権昇格の対象となる可能性があります。この脆弱性は、Kotlin DSL で記述されたプリコンパイル済みスクリプトプラグインを使用するビルドや、ProjectBuilder または TestKit を使用して記述された Gradle プラグインのテストに影響を与えます。Windows または最新の macOS バージョンをお使いの場合、脆弱性の影響を受けません。システム一時ディレクトリに「スティッキービット」が設定されている Unix 系オペレーティングシステムをお使いの場合も、脆弱性の影響を受けません。この問題は Gradle 7.0 で修正され、リリースされました。回避策として、Unix 系オペレーティングシステムでは、「スティッキービット」が設定されていることを確認してください。これにより、ファイルの削除は元のユーザー（または root）のみが許可されます。システム一時ディレクトリの権限を変更できない場合は、システムプロパティ `java.io.tmpdir` を設定して Java の一時ディレクトリを移動できます。新しいパスはビルドユーザーのみに権限を制限する必要があります。詳細については、参照先の GitHub Security Advisory を参照してください。
If you want to get best quality of vulnerability data, you may have to visit VulDB.