CVE 映射到 Java 库

Question

有一个dependency-check-maven插件可以检查我的 Java 项目中的第 3 方依赖项是否存在已知漏洞。 问题是由于 CVE 不包含库的唯一标识符，因此该插件有很多误报（并且很可能是误报）。 例如最近的 Spring 漏洞CVE-2018-1275包含标识符cpe:2.3:a:pivotal_software:spring_framework:*:*:*:*:*:*:*:* versions from (including) 4.3.0 up to (excluding) 4.3.16很难让 map 精确到 Maven 依赖。 有关更多详细信息，请参阅本文。

CVE 和 Maven 依赖项之间是否存在一些可公开访问的映射，可以进行更可靠的检查？

Answer 1

我知道另外2个选项。 按字母顺序：

• https://github.com/OSSIndex/ossindex-maven-plugin

• https://github.com/snyk/snyk-maven-plugin

Answer 2

现在还有另一种选择，即开源漏洞 (osv)和支持该漏洞的数据集，包括许多漏洞，包括 Maven，并且完全匹配公开可用。 这消除了通过 cpe 进行转换的需要，而是使用 Maven 格式直接链接到 maven package。