脆弱的依赖 maven:org.yaml:snakeyaml

Question

我会定期检查pom.xml上的漏洞，通常会通过更新依赖版本来解决这些问题。 但是，我收到以下错误：

提供可传递的易受攻击的依赖项 maven:org.yaml:snakeyaml:1.30 CVE-2022-25857 7.5 待定 CVSS 分配的不受控制的资源消耗漏洞 CVE-2022-38752 6.5 发现中等严重性的越界写入漏洞 CVE-2022-38749 6.5 Out -越界写入漏洞等待 CVSS 分配 CVE-2022-38750 5.5 越界写入漏洞等待 CVSS 分配 CVE-2022-38751 6.5 越界写入漏洞等待 CVSS 分配 CVE-2022-41854 6.5 基于堆栈发现中等严重程度的缓冲区溢出漏洞 CVE-2022-1471 9.8 发现高严重程度的不可信数据反序列化漏洞
结果由 Checkmarx(c) 提供支持

我尝试将<version>添加到我的pom.xml中的<artifactId>spring-boot-starter-web</artifactId> ，但这没有任何意义。

那么，我该如何正确解决这个问题呢？ 我使用 IntelliJ 默认功能来解决此类问题，但我应该做一些额外有用的插件等吗？

Answer 1

不幸的是，Spring Boot 2.7.x 仍然使用旧的易受攻击的 SnakeYAML (1.30) 版本。 他们仍然没有将它升级到最新版本 (1.33)。 Spring Boot 3.0.0 确实依赖于版本 1.33。

假设您还不能升级到 Spring Boot 3.0.0，唯一应该起作用的是在您的项目中添加对SnakeYAML 1.33的依赖。 该版本应优先于 Spring Boot 的传递依赖性。

但是，SnakeYAML 1.33 仍然存在漏洞。 因为这是最后一个版本（SnakeYAML 2.x 与 1.x 不兼容），所以在 SnakeYAML 团队修复它之前你无法摆脱它。

Answer 2

Rob Spoor已经解释了原因，可以通过排除依赖项来消除此警告：

<exclusions>
    <exclusion>
        <groupId>org.yaml</groupId>
        <artifactId>snakeyaml</artifactId>
    </exclusion>
</exclusions>

在对应的<dependency>label中添加上面的代码。