Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Gradle は、ビルドの自動化と多言語開発のサポートに重点を置いたビルド ツールです。Gradleは依存関係をその依存関係キャッシュに書き込むとき、依存関係の座標を使用してファイルの場所を計算します。特別に細工された依存関係座標を使用して、Gradleが意図しない場所にファイルを書き込む可能性があります。ファイルは、依存関係キャッシュの外部、または依存関係キャッシュ内の別のファイルの上に書き込まれる可能性があります。この脆弱性は、依存関係のキャッシュを汚染するためや、Gradleプロセスが書き込み権限を持つファイルシステム上の他の場所で重要なファイルを上書きするために使用される可能性があります。この脆弱性を悪用するには、攻撃者がGradleビルドで使用される依存関係リポジトリを制御するか、ビルドの設定を変更できる必要があります。これが見過ごされることはありそうにありません。この脆弱性から保護する修正プログラムが、Gradle 7.6.2 および 8.2 でリリースされています。Gradleは、依存関係の座標にパストラバーサル要素がある依存関係のキャッシュを拒否します。ユーザーは、パッチ適用バージョンにアップグレードすることを推奨します。Gradle 7.6.2 または 8.2にアップグレードできない場合、「依存関係検証」によってこの脆弱性の悪用がより困難になります。(CVE-2023-35946)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

検出

Linux Distros のパッチ未適用の脆弱性: CVE-2023-35946

medium Nessus プラグイン ID 257907

バージョン 1.10