Уязвимость CVE-2020-15250 - Документация Инкоманд

В JUnit4 начиная с версии 4.7 и до версии 4.13.1 правило тестирования TemporaryFolder содержит уязвимость, связанную с раскрытием локальной информации. В системах, подобных Unix, временный каталог системы является общим для всех пользователей этой системы. Из-за этого, когда файлы и каталоги записываются в этот каталог, они по умолчанию доступны для чтения другим пользователям той же системы. Эта уязвимость не позволяет другим пользователям перезаписывать содержимое этих каталогов или файлов. Это исключительно уязвимость, связанная с раскрытием информации. Эта уязвимость повлияет на вас, если тесты JUnit записывают конфиденциальную информацию, например ключи API или пароли, во временную папку, а тесты JUnit выполняются в среде, где в ОС есть другие ненадёжные пользователи. Поскольку некоторые API файловой системы JDK были добавлены только в JDK 1.7, это исправление зависит от используемой вами версии JDK. Для пользователей Java 1.7 и выше: эта уязвимость устранена в версии 4.13.1. Для пользователей Java 1.6 и ниже: исправление недоступно, вам придётся использовать описанный ниже обходной путь. Если вы не можете установить исправление или застряли на Java 1.6, то для устранения этой уязвимости можно указать системную переменную среды java.io.tmpdir для каталога, принадлежащего исключительно пользователю, выполняющему программу. Дополнительную информацию, включая пример уязвимого кода, можно найти в упомянутом выше уведомлении GitHub о безопасности.

Данная уязвимость устранена в релизе Инкоманд 7.3.5.1.