JVNDB-2026-004124

Gradle Inc.のGradleにおける複数の脆弱性

Gradleはビルド自動化ツールであり、そのnative-platformツールはネイティブAPI向けのJavaバインディングを提供します。バージョン9.3.0未満の依存関係解決時において、一部の例外が致命的なエラーとして扱われず、リポジトリが無効化されない場合がありました。ビルドがこれらの例外のいずれかに遭遇すると、Gradleはリスト内の次のリポジトリへ処理を続け、別のリポジトリから依存関係を解決する可能性がありました。解決不能なホスト名を使用したGradleビルドでは、すべての依存関係が他のリポジトリで解決可能であれば、Gradleは引き続き動作しました。解決不能なホスト名は、リポジトリのドメイン名登録が失効したり、実際のドメイン名を誤って入力した場合に発生します。この挙動により、攻撃者がビルドで使用されるホスト名の下にサービスを登録し、悪意のあるアーティファクトを提供できる可能性があります。この攻撃は、リポジトリがビルド設定で他よりも先にリストされていることが要件となります。Gradleはバージョン9.3.0で振る舞いを変更し、これらのエラーに遭遇した際には他のリポジトリの検索を中止するようにしました。

Gradle Inc.

• Gradle 8.14.4 未満
• Gradle 9.0.0 以上 9.3.0 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
また、当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
さらに、当該ソフトウェアは停止しません。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub Advisory Database : Failure to disable repositories with unknown host can expose builds to malicious artifacts  Advisory  gradle/gradle  GitHub

1. ダウンロードしたコードの完全性検証不備(CWE-494) [その他]
2. 信頼できない制御領域からの機能の組み込み(CWE-829) [その他]

1. CVE-2026-22816

1. National Vulnerability Database (NVD) : CVE-2026-22816
2. 関連文書 : Disable repository after max retries on transient errors  gradle/gradle@e5707d0  GitHub

• [2026年02月20日]
    掲載