dependency-check-maven - 抑制不起作用

Question

我正在尝试将某些已经承认风险的库列入白名单 - 理想情况下我想从内部执行此操作pom.xml，但看来这是不可能的。

我创建了一个带有依赖项 (H2) 的简单项目，该项目具有出色的 CVE，并dependency-check-maven配置了一个suppressions文件以忽略该依赖项，使用从Dependency-Check-Report

pom.xml:

<project xmlns="http://maven.apache.org/POM/4.0.0" xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" xsi:schemaLocation="http://maven.apache.org/POM/4.0.0 https://maven.apache.org/xsd/maven-4.0.0.xsd">
    <modelVersion>4.0.0</modelVersion>
    <groupId>org.me</groupId>
    <artifactId>test</artifactId>
    <version>0.0.1-SNAPSHOT</version>
    <build>
        <plugins>
            <plugin>
                <groupId>org.owasp</groupId>
                <artifactId>dependency-check-maven</artifactId>
                <version>6.5.3</version>
                <configuration>
                    <suppressionFile>path\to\owasp-suppressions.xml</suppressionFile>
                    <failBuildOnCVSS>8</failBuildOnCVSS>
                </configuration>
                <executions>
                    <execution>
                        <goals>
                            <goal>check</goal>
                        </goals>
                    </execution>
                </executions>
            </plugin>
        </plugins>
    </build>
    <dependencies>
        <dependency>
            <groupId>com.h2database</groupId>
            <artifactId>h2</artifactId>
            <version>1.4.200</version>
        </dependency>
    </dependencies>
</project>

owasp-suppressions.xml:

<?xml version="1.0" encoding="UTF-8"?>
<suppressions xmlns="https://jeremylong.github.io/DependencyCheck/dependency-suppression.1.3.xsd">
   <suppress>
      <notes><![CDATA[
      file name: h2-1.4.200.jar
      ]]></notes>
      <packageUrl regex="true">^pkg:maven/com\.h2database/h2@.*$</packageUrl>
      <cpe>cpe:/a:h2database:h2</cpe>
   </suppress>
</suppressions>

但尽管如此，构建仍然失败：

[INFO] ------------------------------------------------------------------------
[INFO] BUILD FAILURE
[INFO] ------------------------------------------------------------------------
[INFO] Total time:  6.703 s
[INFO] Finished at: 2022-01-12T14:26:58Z
[INFO] ------------------------------------------------------------------------
[ERROR] Failed to execute goal org.owasp:dependency-check-maven:6.5.3:check (default) on project test: 
[ERROR] 
[ERROR] One or more dependencies were identified with vulnerabilities that have a CVSS score greater than or equal to '8.0': 
[ERROR] 
[ERROR] h2-1.4.200.jar: CVE-2021-23463

有人可以告诉我我做错了什么吗？

Answer 1

我在我的机器上验证过。当我运行你的代码时，它确实失败了。然后我使用 html 输出和“抑制”代码生成器。但是，它为我生成的代码与您提供的代码略有不同。使用该代码，它可以正常工作。那么，也许是一种疲惫的复制粘贴，然后编辑和弄乱它的情况？

然而，这对我来说在这里有效：

  <suppress>
    <notes>
      <![CDATA[
      file name: h2-1.4.200.jar
      ]]>
    </notes>
    <packageUrl regex="true">^pkg:maven/com\.h2database/h2@.*$</packageUrl>
    <vulnerabilityName>CVE-2021-23463</vulnerabilityName>
  </suppress>

正在看你的评论。我又调查了一些。没有抑制给了我 2 个标识符：

• pkg:maven/com.h2database/h2@1.4.200 （置信度：高）
• cpe:2.3:a:h2database:h2:1.4.200: : : : : : :* （置信度：最高）

然后通过 cpe 进行抑制，如您的示例所示，减少了它并仅显示：

• pkg:maven/com.h2database/h2@1.4.200 （置信度：高）

那个没有“抑制生成按钮”。我尝试了 sha 和 filePath，但事实证明它不能与 cpe 结合。无法解析 xml。

但是，我们可以将漏洞抑制与 filePath 结合起来，这样您仍然可以仅抑制您想要的特定 jar。也许更好：抑制特定 jar 中的特定 CVE。就像这样：

  <suppress>
    <notes>
      <![CDATA[
      file name: h2-1.4.200.jar
      ]]>
    </notes>
    <filePath regex="true">.*\/h2database.*\.jar</filePath>
    <vulnerabilityName>CVE-2021-23463</vulnerabilityName>
  </suppress>

注意，我也删除了 packageUrl 标签，显然两者都没有结合。