Gradle の脆弱性 CVE-2025-27148 が FIX：macOS の旧バージョンが危険

Gradle Build Automation Tool Vulnerable to Privilege Escalation (CVE-2025-27148)

2025/02/27 SecurityOnline — ソフトウェア・アプリケーションの構築／テスト／デプロイに使用される、人気の OSS 自動ビルド・ツール Gradle に、セキュリティ上の脆弱性が発見された。この脆弱性 CVE-2025-27148 (CVSS：8.8) の悪用に成功したローカル攻撃者は、侵害したシステム上での権限昇格の可能性を手にする。

Gradle のセキュリティ・アドバイザリには、「この脆弱性は、Unix 系システム上のシステムの一時ディレクトリと、Gradle がインタラクトする際の方法に起因する。Unix 系システムでは、システムの一時ディレクトリがオープン権限で作成されるため、その中でのファイルの作成／削除が、複数のユーザーに許される可能性がある。したがって、システムの一時ディレクトリ内のファイルを、すばやく削除／再作成する攻撃者は、Gradle ビルドを操作して権限を昇格させる機会を得てしまう」と記されている。

このアドバイザリでは、「具体的に言うと、Gradle のバージョン 8.12 は、初期化の最中にバイナリをシステムの一時ディレクトリにコピーするため、特定のコード・パスによる影響を受けてしまう。Gradle を実行すると、このエクスプロイトが露出する」と警告されている。

幸いなことに、Windows および、macOS の最新バージョンのユーザーは、この問題の影響を受けない。同様に、システムの一時ディレクトリに “sticky” ビット／”noexec” ビットが設定されているシステムも影響を受けない。

すでに Gradle プロジェクトは、バージョン 8.12.1／8.13 をリリースし、脆弱性 CVE-2025-27148 に対処している。Gradle 8.12 のユーザーに対して強く推奨されるのは、これらのバージョンへとアップグレードし、エクスプロイトのリスクを軽減することだ。

速やかなアップグレードが不可能なユーザーのために、Gradle は、回避策を提供している。具体的には、システムの一時ディレクトリでの “sticky” ビットの設定や、より制限された権限の場所へと、Java の一時ディレクトリを移動することなどがある。

Gradle を使用する開発者とシステム管理者は、最新バージョンへの更新もしくは、推奨される回避策の実装により、システム・セキュリティの確保を優先すべきである。

オープンソース・ビルド自動化システムである、Gradle の脆弱性 CVE-2025-27148 が FIX とのことです。この脆弱性は CVSS 値が 8.8 と評価されていますので、ご利用のチームは、ご注意ください。よろしければ、カテゴリ _OpenSource も、ご参照下さい。