CVE-2023-49238

Gradle Enterprise — domyślne nieunikalnie hasło użytkownika systemowego umożliwia przejęcie konta

CVSS 9.8v3.1pub. 2024-01-09upd. 2025-06-17

W Gradle Enterprise przed wersją 2023.1 nowe instalacje mogą posiadać nieunikalnie hasło początkowego użytkownika systemowego. Atakujący może zalogować się przed pierwszym logowaniem administratora i przejąć kontrolę nad systemem.

▸ Pokaż oryginał (EN)

In Gradle Enterprise before 2023.1, a remote attacker may be able to gain access to a new installation (in certain installation scenarios) because of a non-unique initial system user password. Although this password must be changed upon the first login, it is possible that an attacker logs in before the legitimate administrator logs in.

🤖 Analiza AI

Jak działa

Podczas instalacji Gradle Enterprise tworzony jest początkowy użytkownik systemowy z nieunikalnym, przewidywalnym hasłem. Hasło to musi zostać zmienione przy pierwszym logowaniu, jednak jeśli atakujący zdalnie zaloguje się jako ten użytkownik wcześniej niż legalny administrator, przejmuje kontrolę nad kontem. Podatność dotyczy wyłącznie nowych instalacji w określonych scenariuszach konfiguracyjnych.

Skutki

Atakujący może uzyskać pełny dostęp do nowej instalacji Gradle Enterprise, co skutkuje naruszeniem poufności, integralności i dostępności systemu (CWE-521 — słabe wymagania dotyczące haseł).

Mitygacja

Należy zaktualizować Gradle Enterprise do wersji 2023.1 lub nowszej. Do czasu aktualizacji należy niezwłocznie po instalacji zalogować się jako administrator i zmienić hasło domyślnego użytkownika systemowego. Szczegóły dostępne w poradniku producenta: https://security.gradle.com/advisory/2023-01