양쪽이 일치하는 유일한 항목은 바로 벤더가 NVD에 CVSS를 직접 제출한 항목이다.

원인은 누군가 정보를 숨겨서가 아니다: 벤더가 점수를 제출하지 않으면 CISA-ADP가 최악의 시나리오로 자동 채점하며, 대부분의 SCA 도구는 NVD의 값을 사용한다. 이것은 버그가 아니라 두 평가 체계의 각기 다른 기준이다 — 하지만 당신의 대응 프로세스는 9.8 기준으로 돌아간다.

두 번째 문제: 공식이 업그레이드하라고 한 버전을 다운로드하지 못할 수 있다

실측(양성 대조 포함, 규칙 테이블 생성 시마다 재실행):

공식 Fix version 표에서 이 버전들은 Enterprise Support Only 로 표시된다 — 상용 지원을 구매한 고객에게만 제공. 따라서 실제로 해당된다면 선택지는:메이저 버전 업그레이드 또는 상용 지원 구매.

사용법

JDK 17+ 필요. 런타임 의존성 없음, 네트워크 불필요.

종료 코드:0 버전 미해당 · 2 버전 해당하지만 트리거 조건 미발견 · 3 트리거 조건도 충족.

출력 예시

반대편 — 나머지 7건이 왜 차이가 없는가

위 표만 보면 "NVD가 항상 점수를 잘못 매긴다"고 생각할 수 있다. 아니다. 같은 데이터 배치에 7건이 더 있는데, 공식 평가와 NVD 평가가 완전히 일치한다:

두 방향 모두 반례가 없다, 이것이 이 도구가 유일하게 내릴 수 있는 인과 판단이다:

• 7건 평가 일치 → 점수 출처가 전부 [email protected](벤더 직접 제출)
• 8건 평가 불일치 → 점수 출처가 전부 CISA-ADP(벤더 미제출, 제3자가 최악의 시나리오로 자동 채점)

생성 스크립트는 두 개의 단언으로 각각의 방향을 감시한다(ASSERT4 / ASSERT7), 어느 하나라도 반례가 나오면 테이블 생성을 거부한다.

🔑 왜 두 방향을 검증해야 하는가: "일치하는 것은 모두 벤더 자체 평가다"라는 조건은 "일치하지 않는 것 중에도 벤더 자체 평가가 있을 수 있다"는 것을 배제하지 않는다. 실제로 그런 항목이 나오면 인과에 반례가 생기는데, 한 방향만 검증하면 전체 테이블이 그대로 생성되고 전부 초록불이 뜬다. 단방향 단언으로는 인과를 증명할 수 없다.

기준 — 결론을 내리기 전에 함께 읽어주세요

• "미해당"이 "안전"을 의미하지는 않는다. 트리거 조건이 당신이 의존하는 서드파티 라이브러리에 있을 수도 있고, 환경 변수나 설정 센터를 통해 내려올 수도 있으며, 단지 소스 디렉터리를 전달하지 않았을 수도 있다. 보고서의 표현은 항상 "소스에서 찾지 못함"이지 "영향을 받지 않음"이 아니다.
• 위에 나열된 네 배치, 총 15건만 커버하며, 전체 취약점 스캐너가 아니고 SCA를 대체하지 않는다.
• 커버 범위에는 Spring Framework 5.3 라인(2024-08-31에 OSS 지원 종료, 최종 버전 5.3.39)이 포함된다. spring-core-5.3.39.jar로 실행하면 11건이 해당하는데, 이 11건에 대해 공식이 제공한 수정 버전은 공개 Maven Central에 하나도 존재하지 않는다(5.3.45 / 5.3.49 / 5.3.50, 전부 Enterprise Support Only 표기).
• 텍스트 매칭만 수행하고 AST는 하지 않는다. 이는 의도적인 절충이다:핵심 경로는 사람이 읽고 직접 검증할 수 있어야 한다 — 이해할 수 없는 판정은 오류가 발생해도 아무도 발견하지 못한다.
• 평가 차이는 객관적 수치일 뿐이며, "벤더가 숨기고 있다"도 "NVD가 잘못 보고한다"도 아니다.

데이터 출처 / 직접 검증 방법

판정 테이블은 tools/gen_rules.py가 4개의 1차 소스에서 생성하며, 수기 작성이 아니다:

다시 실행하면 재검증이 된다:

스크립트에는 6개의 단언이 있고, 통과하지 못하면 테이블 생성을 거부하며, 그중 3개는 이 도구의 주장을 직접 감시한다:

• ASSERT2 공식⟷NVD 불일치 건수 —— 0이 되면 주장이 무효화된 것이므로 즉시 중단
• ASSERT3 Central 탐지에 양성 대조 포함 —— 대조가 통과하지 못하면 해당 배치의 404는 전부 무효
• ASSERT4 일치하는 항목의 점수 출처가 벤더 자체 평가여야 함 —— 이것이 "원인"의 유일한 증거

License

Apache-2.0