解决maven工程中依赖漏洞问题

工程上不可避免的引入的依赖发生CVE漏洞的情况,像比较有名的log4j 1.x的远程执行漏洞,对于已知的漏洞可以使用dependency check来进行漏洞扫描,发现工程上的漏洞。本文旨在如何发现工程上的漏洞,如何解决依赖漏洞。

1、dependency check

官网 可以下载command line来执行扫描,第一次运行需要下载很多信息,时间较长(猜测是CVE相关的数据),查看帮助:

shell 复制代码
 bin/dependency-check.sh --help

扫描产出:

shell 复制代码
bin/dependency-check.sh -s /path/to/jar -o /output

2、maven依赖分析

两个命令:

查看maven工程的依赖树

shell 复制代码
mvn dependency:tree

查看具体某个依赖坐标的情况,比如查看groovy的依赖引入情况:

shell 复制代码
mvn dependency:tree -Dverbose -Dincludes=org.codehaus.groovy:groovy

这样我们能看到依赖是如何引入的,以及引入的scope,在修复完成后,也能通过这种方式来验证依赖全部修复完成。

3、处理漏洞

发现了漏洞就需要对依赖做升级或者剔除处理:

  • 升级 ,在maven中央仓库中寻找高版本,不含有CVE漏洞的,进行版本升级,版本升级有可能涉及到工程代码的变动,比如log4j1.x升级到log4j2.x配置文件会有变动,版本之间的兼容性问题需要考虑和解决。
  • 剔除,对于引入漏洞的jar包,我们可以进行定向剔除,追踪到引入漏洞的依赖,定点排除无用的jar,善用
xml 复制代码
<exclusions>
    <exclusion>
        <groupId>log4j</groupId>
        <artifactId>log4j</artifactId>
    </exclusion>
</exclusions>
  • 剔除and升级 , 当依赖的jartransitive scopecompile来引入的,如果做简单的剔除,代码有问题,这时候可以做定向升级,做法是先进行定向排除,再单独引入高版本进行升级处理。比如:
xml 复制代码
<dependency>
    <groupId>xxxxx</groupId>
    <artifactId>xxxx</artifactId>
    <version>x.x.x</version>
    <exclusions>
        <exclusion>
            <groupId>org.apache.avro</groupId>
            <artifactId>avro</artifactId>
        </exclusion>
   </exclusions>
</dependency>

<dependency>
    <groupId>org.apache.avro</groupId>
    <artifactId>avro</artifactId>
    <version>1.11.0</version>
</dependency>
相关推荐
许野平29 分钟前
Rust: 利用 chrono 库实现日期和字符串互相转换
开发语言·后端·rust·字符串·转换·日期·chrono
齐 飞2 小时前
MongoDB笔记01-概念与安装
前端·数据库·笔记·后端·mongodb
LunarCod2 小时前
WorkFlow源码剖析——Communicator之TCPServer(中)
后端·workflow·c/c++·网络框架·源码剖析·高性能高并发
码农派大星。3 小时前
Spring Boot 配置文件
java·spring boot·后端
杜杜的man4 小时前
【go从零单排】go中的结构体struct和method
开发语言·后端·golang
幼儿园老大*4 小时前
走进 Go 语言基础语法
开发语言·后端·学习·golang·go
llllinuuu4 小时前
Go语言结构体、方法与接口
开发语言·后端·golang
cookies_s_s4 小时前
Golang--协程和管道
开发语言·后端·golang
为什么这亚子4 小时前
九、Go语言快速入门之map
运维·开发语言·后端·算法·云原生·golang·云计算
想进大厂的小王4 小时前
项目架构介绍以及Spring cloud、redis、mq 等组件的基本认识
redis·分布式·后端·spring cloud·微服务·架构