支持本站 — 捐款将帮助我们持续运营

目标：1000 元，已筹：736 元

73.6%
立即捐款
一、 漏洞 CVE-2026-22816 基础信息
漏洞信息
                                        # Gradle 仓库漏洞

N/A
神龙判断

是否为 Web 类漏洞： 未知

判断理由：

N/A
提示
尽管我们采用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。
神龙会尽力确保数据准确，但也请结合实际情况进行甄别与判断。
神龙祝您一切顺利！
漏洞标题
Gradle fails to disable repositories which can expose builds to malicious artifacts
来源：美国国家漏洞数据库 NVD
漏洞描述信息
Gradle is a build automation tool, and its native-platform tool provides Java bindings for native APIs. When resolving dependencies in versions before 9.3.0, some exceptions were not treated as fatal errors and would not cause a repository to be disabled. If a build encountered one of these exceptions, Gradle would continue to the next repository in the list and potentially resolve dependencies from a different repository. If a Gradle build used an unresolvable host name, Gradle would continue to work as long as all dependencies could be resolved from another repository. An unresolvable host name could be caused by allowing a repository's domain name registration to lapse or typo-ing the real domain name. This behavior could allow an attacker to register a service under the host name used by the build and serve malicious artifacts. The attack requires the repository to be listed before others in the build configuration. Gradle has introduced a change in behavior in Gradle 9.3.0 to stop searching other repositories when encountering these errors.
来源：美国国家漏洞数据库 NVD
CVSS信息
N/A
来源：美国国家漏洞数据库 NVD
漏洞类别
从非可信控制范围包含功能例程
来源：美国国家漏洞数据库 NVD
二、漏洞 CVE-2026-22816 的公开POC
#POC 描述源链接神龙链接
三、漏洞 CVE-2026-22816 的情报信息

  • 标题： Failure to disable repositories with unknown host can expose builds to malicious artifacts · Advisory · gradle/gradle · GitHub -- 🔗来源链接

    标签：x_refsource_CONFIRM

    神龙速读：
                                            从截图中可以获取以下关于漏洞的关键信息：

- **漏洞标题**:
  - Failure to disable repositories with unknown host can expose builds to malicious artifacts

- **严重性**:
  - 高 ( Severity: High, CVSS: 8.6/10 )

- **影响范围**:
  - **受影响版本**:
    - < 8.14.4, 9.0.0 to 9.2.1
  - **修复版本**:
    - 8.14.4, >= 9.3.0

- **CVSS v4基本指标**:
  - **攻击途径**: 网络
  - **攻击复杂性**: 高
  - **攻击条件**: 存在
  - **所需权限**: 无
  - **用户交互**: 被动

- **系统脆弱性指标**:
  - **机密性影响**: 高
  - **完整性影响**: 高
  - **可用性影响**: 无

- **后续系统影响指标**:
  - **机密性影响**: 无
  - **完整性影响**: 高
  - **可用性影响**: 无

- **CVE ID**:
  - CVE-2026-22816

- **弱点**:
  - CWE-494
  - CWE-829

- **关键点总结**:
  - 该漏洞存在于Gradle无法正确禁用含有未知主机名的仓库时，这可能导致构建暴露于恶意的制品（artifacts）。
  - 该问题被修补在版本8.14.4和9.3.0。
  - 在进行依赖解析时，如果Gradle遇到连接错误，它应该禁用该仓库并中断依赖解析过程，以保障构建的可重复性和安全性。
  - 在以前的Gradle版本中，当遇到某些异常时，没有被正确识别为致命错误，导致Gradle可能从不同的仓库继续解析依赖，增加了安全隐患。
  - 通过严格的内容过滤或依赖验证，可以减轻该漏洞带来的风险。如果不能升级Gradle，则应配置依赖验证来确保只解析预期的依赖。
    Failure to disable repositories with unknown host can expose builds to malicious artifacts · Advisory · gradle/gradle · GitHub

  • 标题： Disable repository after max retries on transient errors · gradle/gradle@e5707d0 · GitHub -- 🔗来源链接

    标签：x_refsource_MISC

    Disable repository after max retries on transient errors · gradle/gradle@e5707d0 · GitHub
  • https://nvd.nist.gov/vuln/detail/CVE-2026-22816
四、漏洞 CVE-2026-22816 的评论

暂无评论

发表评论