crazycatmyopic/cveВоспроизводимый пример, демонстрирующий обнаружение уязвимости CVE-2024-26308 во время сборок Docker, с анализом дерева зависимостей Maven и руководством по устранению для Apache Commons Compress.
Я пытаюсь собрать свой проект в Docker, использую Docker Desktop для сборки, при сборке образа я получаю одну из уязвимостей
CVE-2024-26308
CWE-770
7.5
H
Allocation of Resources Without Limits or Throttling vulnerability in Apache Commons Compress. This issue affects Apache Commons Compress: from 1.21 before 1.26. Users are recommended to upgrade to version 1.26, which fixes the issue.
CVSS Score: 7.5
CVSS Vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
Affected range: >=1.21,<1.26.0
Fix version: 1.26.0
Publish date: 2024-02-19
Я хотел бы это исправить, но когда я читаю описание бага, говорится, что это связано с org.apache.commons, но у меня нет этой зависимости. Я пробовал запускать mvn help:effective-pom и mvn dependency:tree -Dverbose, но всё равно не нашёл её.
В чем может быть причина и как это исправить?
команда для запуска
docker build --target run -t build_run .
