crazycatmyopic/cveEjemplo reproducible que demuestra la detección de la vulnerabilidad CVE-2024-26308 durante compilaciones de Docker, con análisis del árbol de dependencias de Maven y orientación de remediación para Apache Commons Compress.
Estoy intentando compilar mi proyecto en Docker, así que estoy usando Docker Desktop para compilar mi proyecto; cuando compilo la imagen, obtengo esto como una de mis vulnerabilidades
CVE-2024-26308
CWE-770
7.5
H
Allocation of Resources Without Limits or Throttling vulnerability in Apache Commons Compress. This issue affects Apache Commons Compress: from 1.21 before 1.26. Users are recommended to upgrade to version 1.26, which fixes the issue.
CVSS Score: 7.5
CVSS Vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
Affected range: >=1.21,<1.26.0
Fix version: 1.26.0
Publish date: 2024-02-19
Me gustaría solucionar esto, pero cuando leo el bug dice que se debe a org.apache.commons, pero no lo tengo en mis dependencias; probé a ejecutar mvn help:effective-pom y mvn dependency:tree -Dverbose y aun así no lo encontré.
¿Cuál podría ser la causa y cómo puedo solucionarlo?
comando para ejecutar
docker build --target run -t build_run .
