我的Java应用程序项目由Maven管理。
我的项目有一些库依赖项,再次依赖于易受攻击的Apache commons collection 3.2.1
,例如Apache commons配置、速度等。
(我可以看到它正在通过运行mvn dependency:tree
命令来使用。)
我既没有直接使用Apachecommons集合编写任何代码行,也没有定义它的依赖关系,但它正在被使用。
我可以做些什么来删除它的依赖性并强制使用安全版本-3.2.2,4.1。
供您参考:JIRA Bug-使用InvokerTransformer 执行任意远程代码
这是我pom.xml的一部分,我想没有什么特别的。
...
<dependency>
<groupId>commons-configuration</groupId>
<artifactId>commons-configuration</artifactId>
<version>1.6</version>
</dependency>
<dependency>
<groupId>org.apache.velocity</groupId>
<artifactId>velocity</artifactId>
<version>1.7</version>
</dependency>
...
除非我遗漏了一些明显的东西,否则在POM中指定依赖项就足够了:
<dependencies>
<dependency>
<groupId>commons-collections</groupId>
<artifactId>commons-collections</artifactId>
<version>3.2.2</version>
</dependency>
...
</dependencies>
如果将其指定为<dependencies>
部分的顶部,则它将覆盖commons-collections
的任何其他传递包含。
当然,在其他依赖项依赖于其他版本的情况下,您可能会出现不兼容,但这就是单元测试的目的,对吧?;-)
您需要做的是从受影响的依赖项中排除commons-collections
,并直接在依赖项中包含所需的版本。
示例pom.xml
摘录假定commons-configuration
使用易受攻击的commons-collections
<dependency>
<groupId>commons-configuration</groupId>
<artifactId>commons-configuration</artifactId>
<version>1.10</version>
<exclusions>
<exclusion>
<artifactId>commons-collections</artifactId>
<groupId>commons-collections</groupId>
</exclusion>
</exclusions>
</dependency>
<dependency>
<groupId>commons-collections</groupId>
<artifactId>commons-collections</artifactId>
<version>3.2.2</version>
<scope>runtime</scope>
</dependency>
为了简单起见,我在dependency-management
部分中没有显示在根pom.xml
中对此进行配置。
<scope>
应该设置为runtime
,因为您提到不直接使用库。
我已经在pom.xml
中添加了这些行,但仍然是commons-collections3.2
正在下载中。。
<dependencies>
<dependency>
<groupId>org.apache.commons</groupId>
<artifactId>commons-collections4</artifactId>
<version>4.1</version>
</dependency>
<dependency>
<groupId>org.apache.commons</groupId>
<artifactId>commons-lang3</artifactId>
<version>${apachecommonslang.version}</version>
<exclusions>
<exclusion>
<artifactId>commons-collections</artifactId>
<groupId>commons-collections</groupId>
</exclusion>
</exclusions>
</dependency>
<dependency>
<groupId>commons-dbcp</groupId>
<artifactId>commons-dbcp</artifactId>
<version>${dbcp.version}</version>
<exclusions>
<exclusion>
<artifactId>commons-collections</artifactId>
<groupId>commons-collections</groupId>
</exclusion>
</exclusions>
</dependency>