json.org CVE-2022-45688 오탐지

이 프로젝트에는 CVE-2022-45688 취약점이 있는 json.org 종속성이 포함되어 있습니다. 취약한 클래스를 호출하기는 하지만 입력 데이터가 하드코딩되어 있어 DoS 공격을 유발하기에 적합하지 않습니다. 따라서 이 취약점은 DoS 공격에 악용될 수 없습니다.

메타데이터 기반 및 호출 그래프 기반 소프트웨어 구성 분석은 모두 오탐지를 생성합니다. 애플리케이션의 취약 여부를 정확히 탐지하려면 보다 정교한 프로시저 간 데이터 흐름/테인트 분석이 필요합니다.

취약점을 입증하기 위한 proof-of-vulnerability 테스트가 있으며, 이 테스트(따라서 mvn test를 사용한 빌드)는 실패합니다. 테스트가 어떻게 동작하는지 보려면 https://github.com/scabench/jsonorg-tp1을 참조하세요.

소프트웨어 구성 분석 실행

여러 분석을 실행하기 위한 몇 가지 sh 스크립트가 있으며, 결과 보고서는 scan-results에서 찾을 수 있습니다.

SBOM 생성

pom.xml에는 CycloneDX 형식으로 SBOM을 생성하는 플러그인이 있습니다. 이렇게 하려면 mvn cyclonedx:makePackageBom을 실행하세요. SBOM은 target/에서 json 및 xml 형식으로 찾을 수 있습니다.

jsonorg-fp2

인기