CVE-2021-29428 in Gradle
Сводка
по VulDB • 31.05.2026
В версиях Gradle до 7.0 на системах, подобных Unix, системная временная директория может создаваться с открытыми правами доступа, позволяющими нескольким пользователям создавать и удалять файлы внутри нее. Сборки Gradle могут быть уязвимы к локальному повышению привилегий со стороны злоумышленника, который быстро удаляет и воссоздает файлы в системной временной директории. Эта уязвимость затрагивает сборки, использующие предварительно скомпилированные скриптовые плагины, написанные на Kotlin DSL, а также тесты для плагинов Gradle, написанные с использованием ProjectBuilder или TestKit. Если вы используете Windows или современные версии macOS, вы не уязвимы. Если вы используете систему, подобную Unix, с установленным «липким» битом (sticky bit) на вашей системной временной директории, вы не уязвимы. Проблема исправлена и выпущена в Gradle 7.0. В качестве обходного пути на системах, подобных Unix, убедитесь, что установлен «липкий» бит. Это позволяет только исходному пользователю (или root) удалять файл. Если вы не можете изменить права доступа к системной временной директории, вы можете переместить временную директорию Java, установив системное свойство `java.io.tmpdir`. Новый путь должен ограничивать права доступа только пользователем сборки. Для получения дополнительных сведений обратитесь к соответствующему руководству по безопасности GitHub.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.