Vulnerabilidad en Gradle (CVE-2022-23630)

Gravedad CVSS v3.1:

ALTA

Tipo:

No Disponible / Otro tipo

Fecha de publicación:

10/02/2022

Última modificación:

17/02/2022

Descripción

Gradle es una herramienta de compilación con un enfoque en la automatización de la compilación y el soporte para el desarrollo multilingüe. En algunos casos, Gradle puede omitir esa verificación y aceptar una dependencia que de otra manera fallaría la construcción como un artefacto externo no confiable. Esto ocurre cuando la verificación de dependencias está deshabilitada en una o más configuraciones y esas configuraciones presentan dependencias comunes con otras configuraciones que presentan la verificación de dependencias habilitada. Si la configuración que presenta deshabilitada la verificación de dependencias se resuelve primero, Gradle no verifica las dependencias comunes para la configuración que presenta habilitada la verificación de dependencias. Gradle versión 7.4 corrige este problema al comprobar los artefactos al menos una vez si están presentes en una configuración resuelta que presenta activa la verificación de dependencias. Para usuarios que no puedan actualizar, o bien no usen "ResolutionStrategy.disableDependencyVerification()" y no usen plugins que usen ese método para deshabilitar la verificación de dependencias para una única configuración, o bien asegúrense de que la resolución de la configuración que deshabilita esa característica no sea producida en las compilaciones que resuelven la configuración donde la característica está habilitada

Impacto

Vector 3.x

CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H CVSS v3.1 Severidad y Métricas:

Puntuación base: 7.50 ALTA
Vector: CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Alto
Privilegios Requeridos (PR): Bajo
Interacción del usuario (UI): Ninguno
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Alto
Impacto a la integridad (I): Alto
Impacto a la disponibilidad (A): Alto

Puntuación base 3.x

7.50

Gravedad 3.x

ALTA

Vector 2.0

AV:N/AC:M/Au:S/C:P/I:P/A:P CVSS v2.0 Severidad y Métricas:

Puntuación base: 6.00 MEDIA
Vector: AV:N/AC:M/Au:S/C:P/I:P/A:P

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Medio
Autenticación (Au): Simple
Impacto a la confidencialidad (C): Físico
Impacto a la integridad (I): Físico
Impacto a la disponibilidad (A): Físico