Information Disclosure in Apache Groovy
Apache Groovy provides extension methods to aid with creating temporary directories. Prior to this fix, Groovy's implementation of those extension methods was using a now superseded Java JDK method call that is potentially not secure on some operating systems in some contexts. Users not using the extension methods mentioned in the advisory are not affected, but may wish to read the advisory for further details. Versions Affected: 2.0 to 2.4.20, 2.5.0 to 2.5.13, 3.0.0 to 3.0.6, and 4.0.0-alpha-1. Fixed in versions 2.4.21, 2.5.14, 3.0.7, 4.0.0-alpha-2.
Software afectado
Haz clic en una tecnología para ver todas sus vulnerabilidades.
| Plataforma | Paquete | Versiones vulnerables | Corregida en |
|---|---|---|---|
| Java / Kotlin (Maven) | org.codehaus.groovy:groovy | >= 2.0.0, < 2.4.21, >= 2.5.0, < 2.5.14, >= 3.0.0, < 3.0.7 | 2.4.21, 2.5.14, 3.0.7 |
| Java / Kotlin (Maven) | org.codehaus.groovy:groovy-all | >= 2.0.0, < 2.4.21, >= 2.5.0, < 2.5.14, >= 3.0.0, < 3.0.7 | 2.4.21, 2.5.14, 3.0.7 |
Referencias
- https://nvd.nist.gov/vuln/detail/CVE-2020-17521
- https://github.com/apache/groovy/pull/1425
- https://github.com/apache/groovy/commit/bcbe5c4c76db83736166530647c024ac1e47ef28
- https://github.com/apache/groovy
- https://groovy-lang.org/security.html#CVE-2020-17521
- https://lists.apache.org/thread.html/r4b2f13c302eec98838ff7475253091fb9b75bc1038016ba00ebf6c08@%3Cdev.atlas.apache.org%3E
- https://lists.apache.org/thread.html/ra9dab34bf8625511f23692ad0fcee2725f782e9aad6c5cdff6cf4465@%3Cnotifications.groovy.apache.org%3E
- https://lists.apache.org/thread.html/rea63a4666ba245d2892471307772a2d8ce0f0741f341d6576625c1b3@%3Cdev.atlas.apache.org%3E
- https://security.netapp.com/advisory/ntap-20201218-0006
- https://www.oracle.com//security-alerts/cpujul2021.html
- https://www.oracle.com/security-alerts/cpuApr2021.html
- https://www.oracle.com/security-alerts/cpuapr2022.html
- https://www.oracle.com/security-alerts/cpujan2021.html
- https://www.oracle.com/security-alerts/cpujan2022.html
- https://www.oracle.com/security-alerts/cpujul2022.html
- https://www.oracle.com/security-alerts/cpuoct2021.html
- Vector CVSS
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N- Debilidad (CWE)
CWE-379- Plataforma
- Java / Kotlin (Maven)
- Paquete
org.codehaus.groovy:groovy, org.codehaus.groovy:groovy-all- Publicada
- 09.12.2020
- Actualizado
- 11.10.2026 12:21
Fuentes y licencias
OSV / GitHub Advisory Database - GHSA-rcjj-h6gh-jf3r - CC BY 4.0
Historial de vulnerabilidades: org.codehaus.groovy:groovy
Todas las vulnerabilidades publicadas de este paquete (Java / Kotlin (Maven)), de la más reciente a la más antigua. Muestra si es un fallo aislado o un paquete que hay que vigilar.
- Entradas en total
- 3
- Primera → última
- 12.2020 05.2022
- Sin corrección
- 0
- Explotada en ataques
- 0
Distribución por gravedad
- Crítica 2
- Media 1
Divulgaciones por año
- 2020: 1
- 2021: 0
- 2022: 2
- 2023: 0
- 2024: 0
- 2025: 0
- 2026: 0
-
Information Disclosure in Apache Groovy esta entrada
Identifica las vulnerabilidades de tu aplicación
Con la integración de DockRay y el inventario de software activado, DockRay compara las versiones notificadas de los componentes con las vulnerabilidades conocidas y avisa de las coincidencias confirmadas. La cobertura depende de la tecnología compatible y de los avisos disponibles.