CVE-2021-29428 in Gradle
요약
\~에 의해 VulDB • 2026. 05. 25.
Gradle 7.0 이전 버전에서 유닉스 계열 시스템상 시스템 임시 디렉토리가 열려 있는 권한(open permissions)으로 생성되어 여러 사용자가 해당 디렉토리 내에서 파일을 생성하고 삭제할 수 있습니다. 이로 인해 Gradle 빌드가 공격자가 시스템 임시 디렉토리 내의 파일을 빠르게 삭제하고 다시 생성함으로써 로컬 권한 상승(local privilege escalation)을 일으킬 수 있는 취약점에 노출될 수 있습니다. 이 취약점은 Kotlin DSL로 작성된 사전 컴파일된 스크립트 플러그인을 사용하는 빌드와 ProjectBuilder 또는 TestKit를 사용하여 작성된 Gradle 플러그인 테스트에 영향을 미칩니다. Windows 또는 최신 버전의 macOS를 사용하는 경우 취약점이 없습니다. 시스템 임시 디렉토리에 'sticky' 비트가 설정된 유닉스 계열 운영 체제를 사용하는 경우에도 취약점이 없습니다. 이 문제는 Gradle 7.0에서 패치되어 출시되었습니다. 우회 방법으로 유닉스 계열 운영 체제에서 시스템 임시 디렉토리에 'sticky' 비트가 설정되어 있는지 확인하십시오. 이 설정은 파일의 삭제를 원래 사용자(또는 루트)에게만 허용합니다. 시스템 임시 디렉토리의 권한을 변경할 수 없는 경우, 시스템 속성 `java.io.tmpdir`을 설정하여 Java 임시 디렉토리를 이동할 수 있습니다. 새 경로는 빌드 사용자만 권한을 가질 수 있도록 제한해야 합니다. 추가 세부 정보는 참조된 GitHub 보안 고지(GitHub Security Advisory)를 참조하십시오.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.