JVNDB-2026-004122

Gradle Inc.のGradleにおける複数の脆弱性

Gradleはビルド自動化ツールであり、そのnative-platformツールはネイティブAPIのためのJavaバインディングを提供します。バージョン9.3.0以前の依存関係解決において、一部の例外は致命的なエラーとして扱われず、リポジトリが無効化されることはありませんでした。ビルドがこれらの例外のいずれかに遭遇した場合、Gradleはリスト上の次のリポジトリに処理を続行し、別のリポジトリから依存関係を解決する可能性がありました。NoHttpResponseExceptionのような例外は一時的なエラーを示す場合があります。最大リトライ回数後もエラーが続く場合、Gradleは次のリポジトリに処理を続けました。この動作により、攻撃者はあるリポジトリのサービスを妨害し、別のリポジトリを利用して悪意のあるアーティファクトを配布できるようになりました。この攻撃は、妨害されたリポジトリの後に位置するリポジトリの制御権を攻撃者が持っている場合に成立します。Gradleはバージョン9.3.0でこのようなエラーが発生した際に他のリポジトリの検索を停止する挙動の変更を導入しました。

Gradle Inc.

• Gradle 8.14.4 未満
• Gradle 9.0.0 以上 9.3.0 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
また、当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
さらに、当該ソフトウェアは停止しません。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub Advisory Database : Failure to disable repositories failing to answer can expose builds to malicious artifacts  Advisory  gradle/gradle  GitHub

1. ダウンロードしたコードの完全性検証不備(CWE-494) [その他]
2. 信頼できない制御領域からの機能の組み込み(CWE-829) [その他]

1. CVE-2026-22865

1. National Vulnerability Database (NVD) : CVE-2026-22865

• [2026年02月20日]
    掲載