Команда Gradle выпустила обновления безопасности: 9.9.1 опубликована 10 ноября, а 8.14.7 появилась 11 ноября. В примечаниях к 9.9.1 перечислены три исправленные уязвимости. В Mentoring.digital разбираем, что важно владельцам JVM- и Android-проектов.
Что исправили разработчики
Одна из проблем связана с генерацией вспомогательного кода из каталогов версий. Эти каталоги описывают используемые зависимости и плагины. По официальному бюллетеню, специально подготовленные значения могли привести к выполнению кода при обработке каталога. Исправление включено в 9.9.1 и 8.14.7.
Два других исправления относятся к работе клиента Gradle с реестром daemon, фонового процесса сборки. Обновления усиливают проверку реестра и взаимодействия с процессом. При этом разработчики отдельно предупреждают: заданное самим проектом расположение реестра не становится безопасным лишь из-за обновления версии.
Почему важен Wrapper проекта
Команда может запускать сборку через Gradle Wrapper, который выбирает версию Gradle для конкретного проекта. Обновление глобально установленного инструмента ещё не подтверждает, что сборка в IDE или CI использует исправленный выпуск.
Уточните версию Wrapper и способ запуска на агенте CI. Для своей ветки выберите совместимое исправленное обновление, затем проверьте сборку, тесты и работу нужных плагинов. Изменения файлов Wrapper стоит проверить при просмотре коммита.
Как работать с незнакомым проектом
Перед запуском Gradle или открытием недоверенного проекта в IDE проверьте его настройки. В частности, официальный бюллетень рекомендует обращать внимание на org.gradle.daemon.registry.base в gradle.properties. Исправленная версия не заменяет такую проверку.
Безопасный порядок сборки и совместимость обновления можно разобрать с наставником по Java. Результатом должна быть проверенная версия инструмента в каждом используемом окружении, а не только запись об обновлении на одном компьютере.
