MinimalReproducer

상당한 노력 끝에 최소한의 재현 도구로 축소했습니다.

이것은 회사 규칙에 의해 강제로 사용해야 하는 dependency-check-maven 사용과 관련된 문제를 시연하기 위한 빈 프로젝트입니다.

pom.xml을 확인하고 다음을 실행하세요:

mvn org.owasp:dependency-check-maven:RELEASE:aggregate

또는 NVD_API_KEY 환경 변수가 있다면 더 빠르게:

mvn org.owasp:dependency-check-maven:RELEASE:aggregate -DnvdApiKey=${NVD_API_KEY}

그러면 다음을 포함하여 많은 결과를 얻게 될 것입니다: ... [ERROR] maven-core-3.6.3.jar (pkg:maven/org.apache.maven/[email protected], cpe:2.3🅰️apache:maven:3.6.3:::::::*): CVE-2021-26291(9.1) ...

"분명히" 오해의 소지가 있는 dependency-check-report.html은 다음과 같이 말합니다:

maven-core-3.6.3.jar
Referenced In Project/Scope: test (plugins)
Included by: pkg:maven/org.owasp/[email protected] (plugins)

이 문제는 회사에서 강제로 적용한 (거대한) 부모 POM과 다음 구성에서 비롯됩니다:

<failBuildOnCVSS>7</failBuildOnCVSS>
<scanPlugins>true</scanPlugins>

회사 부모 POM이나 그 종속성 어디에도 maven-core 3.6.3에 대한 명시적 참조는 없습니다. 다음 명령은 아무것도 반환하지 않습니다:

mvn help:effective-pom | grep 3.6.3