crazycatmyopic/cveReproduzierbares Beispiel, das die Erkennung der Schwachstelle CVE-2024-26304 während Docker-Builds demonstriert, mit Maven-Abhängigkeitsbaum-Analyse und Remediation-Anleitung für Apache Commons Compress.
Ich versuche, mein Projekt in Docker zu bauen. Dazu verwende ich Docker Desktop. Beim Erstellen des Images erhalte ich folgende Schwachstelle:
CVE-2024-26308
CWE-770
7.5
H
Allocation of Resources Without Limits or Throttling vulnerability in Apache Commons Compress. This issue affects Apache Commons Compress: from 1.21 before 1.26. Users are recommended to upgrade to version 1.26, which fixes the issue.
CVSS Score: 7.5
CVSS Vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
Affected range: >=1.21,<1.26.0
Fix version: 1.26.0
Publish date: 2024-02-19
Ich möchte dies beheben, doch wenn ich den Bug lese, heißt es, er sei auf org.apache.commons zurückzuführen – aber ich habe diese Abhängigkeit nicht in meinem Projekt. Ich habe mvn help:effective-pom und mvn dependency:tree -Dverbose ausgeführt und finde sie dennoch nicht. Was könnte die Ursache sein und wie kann ich das Problem beheben?
Befehl zum Ausführen:
docker build --target run -t build_run .
