CVE-2020-8908

Temp directory permission issue in Guava

At a glance

Severity: LOW 3.3
EPSS: EPSS 0.92 % · percentile 60 (2026-10-27)
State: PUBLISHED
Published: 2020-12-10
Updated: 2024-08-04
Assigner: Google
NVD status: Modified

Description

A temp directory creation vulnerability exists in all versions of Guava, allowing an attacker with access to the machine to potentially access data in a temporary directory created by the Guava API com.google.common.io.Files.createTempDir(). By default, on unix-like systems, the created directory is world-readable (readable by an attacker with access to the system). The method in question has been marked @Deprecated in versions 30.0 and later and should not be used. For Android developers, we recommend choosing a temporary directory API provided by Android, such as context.getCacheDir(). For other Java developers, we recommend migrating to the Java 7 API java.nio.file.Files.createTempDirectory() which explicitly configures permissions of 700, or configuring the Java runtime's java.io.tmpdir system property to point to a location whose permissions are appropriately configured.

Scores

Version	Score	Vector	Scored by
CVSS 3.1	LOW 3.3	CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N	Google
CVSS 3.1	LOW 3.3	CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N	NVD · cve-coordination@google.com (Secondary)
CVSS 3.1	LOW 3.3	CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N	NVD · nvd@nist.gov (Primary)
CVSS 2.0	LOW 2.1	AV:L/AC:L/Au:N/C:P/I:N/A:N	NVD · nvd@nist.gov (Primary)

Weaknesses (CWE)

Advisories

GHSA-5mg8-w23w-74h3 — Information Disclosure in Guava

European references

ENISA EUVD · EUVD-2021-0611
GCVE · GCVE-0-2020-8908

CERT-FR advisories

CERTFR-2026-AVI-0958 — Multiples vulnérabilités dans les produits IBM · cert.ssi.gouv.fr
CERTFR-2026-AVI-0556 — Multiples vulnérabilités dans les produits VMware · cert.ssi.gouv.fr
CERTFR-2026-AVI-0500 — Multiples vulnérabilités dans VMware Tanzu · cert.ssi.gouv.fr
CERTFR-2026-AVI-0199 — Multiples vulnérabilités dans les produits VMware · cert.ssi.gouv.fr
CERTFR-2025-AVI-1131 — Multiples vulnérabilités dans les produits IBM · cert.ssi.gouv.fr
CERTFR-2025-AVI-0969 — Multiples vulnérabilités dans les produits VMware · cert.ssi.gouv.fr
CERTFR-2025-AVI-0671 — Multiples vulnérabilités dans les produits IBM · cert.ssi.gouv.fr
CERTFR-2025-AVI-0622 — Multiples vulnérabilités dans les produits VMware · cert.ssi.gouv.fr
CERTFR-2024-AVI-1081 — Multiples vulnérabilités dans les produits IBM · cert.ssi.gouv.fr
CERTFR-2024-AVI-0535 — Multiples vulnérabilités dans les produits Splunk · cert.ssi.gouv.fr
CERTFR-2024-AVI-0081 — Multiples vulnérabilités dans les produits Spring · cert.ssi.gouv.fr
CERTFR-2023-AVI-0701 — Multiples vulnérabilités dans Splunk · cert.ssi.gouv.fr
CERTFR-2023-AVI-0567 — Multiples vulnérabilités dans Oracle WebLogic · cert.ssi.gouv.fr
CERTFR-2022-AVI-626 — Multiples vulnérabilités dans IBM i Modernization · cert.ssi.gouv.fr
CERTFR-2022-AVI-568 — Multiples vulnérabilités dans les produits IBM · cert.ssi.gouv.fr
CERTFR-2022-AVI-369 — Multiples vulnérabilités dans Oracle WebLogic Server · cert.ssi.gouv.fr
CERTFR-2022-AVI-366 — Multiples vulnérabilités dans Oracle PeopleSoft · cert.ssi.gouv.fr
CERTFR-2021-AVI-559 — Multiples vulnérabilités dans Oracle PeopleSoft · cert.ssi.gouv.fr
CERTFR-2021-AVI-556 — Multiples vulnérabilités dans Oracle Database Server · cert.ssi.gouv.fr

Affected configurations (NVD CPE)

cpe:2.3:a:google:guava:*:*:*:*:*:*:*:* < 32.0.0
cpe:2.3:a:quarkus:quarkus:*:*:*:*:*:*:*:* < 1.11.4
cpe:2.3:a:oracle:commerce_guided_search:11.3.2:*:*:*:*:*:*:*
cpe:2.3:a:oracle:communications_cloud_native_core_network_slice_selection_function:1.2.1:*:*:*:*:*:*:*
cpe:2.3:a:oracle:communications_pricing_design_center:12.0.0.4.0:*:*:*:*:*:*:*
cpe:2.3:a:oracle:communications_pricing_design_center:12.0.0.5.0:*:*:*:*:*:*:*
cpe:2.3:a:oracle:data_integrator:12.2.1.3.0:*:*:*:*:*:*:*
cpe:2.3:a:oracle:data_integrator:12.2.1.4.0:*:*:*:*:*:*:*
cpe:2.3:a:oracle:nosql_database:*:*:*:*:*:*:*:* < 20.3
cpe:2.3:a:oracle:peoplesoft_enterprise_peopletools:8.57:*:*:*:*:*:*:*
cpe:2.3:a:oracle:peoplesoft_enterprise_peopletools:8.58:*:*:*:*:*:*:*
cpe:2.3:a:oracle:peoplesoft_enterprise_peopletools:8.59:*:*:*:*:*:*:*
cpe:2.3:a:oracle:retail_customer_management_and_segmentation_foundation:*:*:*:*:*:*:*:* ≥ 16.0 ≤ 19.0
cpe:2.3:a:oracle:weblogic_server:14.1.1.0.0:*:*:*:*:*:*:*
cpe:2.3:a:oracle:communications_cloud_native_core_network_repository_function:1.14.0:*:*:*:*:*:*:*
cpe:2.3:a:oracle:primavera_unifier:*:*:*:*:*:*:*:* ≥ 17.7 ≤ 17.12
cpe:2.3:a:oracle:primavera_unifier:18.8:*:*:*:*:*:*:*
cpe:2.3:a:oracle:primavera_unifier:19.12:*:*:*:*:*:*:*
cpe:2.3:a:oracle:primavera_unifier:20.12:*:*:*:*:*:*:*
cpe:2.3:a:oracle:primavera_unifier:21.12:*:*:*:*:*:*:*
cpe:2.3:a:netapp:active_iq_unified_manager:-:*:*:*:*:linux:*:*
cpe:2.3:a:netapp:active_iq_unified_manager:-:*:*:*:*:vmware_vsphere:*:*
cpe:2.3:a:netapp:active_iq_unified_manager:-:*:*:*:*:windows:*:*

Affected products

Product	Versions
Google LLC · Guava	affected 1.0 < 32.0

References

Sources

Source	Licence
CVE List (CVEProject cvelistV5)	CVE Program Terms of Use
EPSS (FIRST.org)	FIRST — attribution requested
ENISA EUVD	ENISA — reproduction authorised, source acknowledged
CERT-FR (ANSSI)	Licence Ouverte / Etalab 2.0
NVD (NIST) via fkie-cad/nvd-json-data-feeds	Public domain — this product uses data from the NVD API but is not endorsed or certified by the NVD