CVE-2020-15768

Gradle Enterprise, versões 2017.3 a 2020.2.4

Gradle Enterprise Build Cache Node, versões 1.0 a 9.2

Uma falha no Gradle Enterprise permite que invasores remotos obtenham cookies de autenticação por meio de reflexão irrestrita de cabeçalhos HTTP, possibilitando que eles se passem por outro usuário caso descubram uma vulnerabilidade XSS separada. Os caminhos de solicitação de aplicativos afetados no Gradle Enterprise incluem /info/headers, /cache-info/headers, /admin-info/headers e /distribution-broker-info/headers. Para o Gradle Enterprise Build Cache Node, o caminho afetado é /cache-node-info/headers.

Para as versões 2017.3 a 2020.2.4 do Gradle Enterprise, considere restringir o acesso aos caminhos de solicitação do aplicativo afetados até que um patch esteja disponível.

Para as versões 1.0 a 9.2 do Gradle Enterprise Build Cache Node, restrinja o acesso ao caminho /cache-node-info/headers para minimizar o risco de exploração.

Como solução alternativa temporária, considere desativar o reflexo dos cabeçalhos HTTP nos caminhos afetados tanto para o Gradle Enterprise quanto para o Gradle Enterprise Build Cache Node até que um patch esteja disponível.