CVE-2022-22976 spring 啟動 2.7.0

Question

我有 spring 引導項目版本 2.7.0。 我使用依賴項檢查並報告 CVE-2022-22976。 你知道我怎么解決嗎？ Spring 安全版本為 5.7.1，而 spring 入門安全版本為 2.7.0。

Answer 1

這是一個誤報，將在即將發布的 7.1.1 版本中自動被抑制： https://github.com/jeremylong/DependencyCheck/issues/4563

目前，用於 Spring Security 的 Spring Boot starter 被誤認為是 Spring Security 本身。

在那之前你需要用類似的東西手動抑制它

<suppress base="true">
   <notes><![CDATA[
   FP per issue #4563
   ]]></notes>
   <packageUrl regex="true">^pkg:maven/org\.springframework\.boot/spring-boot-starter-security@.*$</packageUrl>
   <cpe>cpe:/a:vmware:spring_security</cpe>
</suppress>