Vulnerabilidad en la API "TextResourceFactory" en los archivos con permisos abiertos en el directorio temporal del sistema en Gradle (CVE-2021-29429)

Gravedad CVSS v3.1:

MEDIA

Tipo:

No Disponible / Otro tipo

Fecha de publicación:

12/04/2021

Última modificación:

20/10/2021

Descripción

En Gradle versiones anteriores a 7.0, los archivos creados con permisos abiertos en el directorio temporal del sistema pueden permitir a un atacante acceder a la información descargada por Gradle.&#xa0;Algunas compilaciones pueden ser vulnerables a una divulgación de información local.&#xa0;Los archivos remotos a los que se accede por medio de TextResourceFactory son descargados primero en el directorio temporal del sistema.&#xa0;Información confidencial contenida en estos archivos pueden ser expuestas a otros usuarios locales en el mismo sistema.&#xa0;Si no usa la API "TextResourceFactory", no es vulnerable.&#xa0;A partir de Gradle versión 7.0, los usos del directorio temporal del sistema han sido movido al directorio Gradle User Home. Por defecto, este directorio está restringido al usuario que ejecuta la compilación.&#xa0;Como solución alternativa, establezca una máscara de usuario más restrictiva que elimine el acceso de lectura a otros usuarios.&#xa0;Cuando se crean archivos en el directorio temporal del sistema,&#xa0;no serán accedidos por otros usuarios.&#xa0;Si no puede cambiar la umask de su sistema, puede mover el directorio temporal de Java al configurar el System Property "java.io.tmpdir".&#xa0;La nueva ruta debe limitar los permisos solo al usuario de la compilación

Impacto

Vector 3.x

CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N CVSS v3.1 Severidad y Métricas:

Puntuación base: 5.50 MEDIA
Vector: CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N

Vector de acceso (AV): Local
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Bajo
Interacción del usuario (UI): Ninguno
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Alto
Impacto a la integridad (I): Ninguno
Impacto a la disponibilidad (A): Ninguno

Puntuación base 3.x

5.50

Gravedad 3.x

MEDIA

Vector 2.0

AV:L/AC:M/Au:N/C:P/I:N/A:N CVSS v2.0 Severidad y Métricas:

Puntuación base: 1.90 BAJA
Vector: AV:L/AC:M/Au:N/C:P/I:N/A:N

Vector de acceso (AV): Local
Complejidad de acceso (AC): Medio
Autenticación (Au): Ninguno
Impacto a la confidencialidad (C): Físico
Impacto a la integridad (I): Ninguno
Impacto a la disponibilidad (A): Ninguno