
applicazione semplice con una vulnerabilità (irraggiungibile!) CVE-2022-45688
Il progetto contiene una dipendenza da json.org con CVE-2022-45688. Viene invocata la classe vulnerabile, ma i dati di input sono hardcodati e non adatti a innescare un attacco DoS. La vulnerabilità quindi non può essere sfruttata per un attacco DoS.
Sia le analisi di composizione del software basate su metadati che quelle basate su callgraph produrranno un falso positivo. Per rilevare con precisione se l'applicazione è vulnerabile, è necessaria un'analisi interprocedurale più sofisticata di dataflow / taint.
Si noti che esiste un test di prova della vulnerabilità per dimostrare la vulnerabilità, questo test (e quindi la build con mvn test)
fallisce. Vedi https://github.com/scabench/jsonorg-tp1 per come funziona il test.
Ci sono diversi script sh per eseguire diverse analisi, i report dei risultati si trovano in scan-results.
Il pom.xml ha un plugin per generare uno SBOM in formato CycloneDX.
Per farlo, esegui mvn cyclonedx:makePackageBom, lo SBOM si trova in
target/ in formato json e xml.