Какова надежность проверки зависимостей OWASP?

Question

Я выполнил ручную проверку нескольких библиотек, которые мы используем в нашем программном обеспечении. Одна из них, весна-каркас, в настоящее время находится в версии 4.0.3, а последняя версия - 4.3.2. Таким образом, I searchNational Vunerability Database, чтобы узнать, была ли эта старая версия уязвимой (или нет).

Оказывается есть 3 известные уязвимости, применяющих здесь: CVE-2015-3192, CVE-2014-3625, CVE-2014-3578

Тогда я построил свой проект с зависимостями чек-мавена OWASP в. Поскольку они также используют базу данных NVD, я ожидал получить тот же результат. Хотя, в конечном итоге он не получил никаких уязвимостей.

Поскольку я все еще довольно непросто (и новичок!) С вопросами безопасности, и особенно «ложным положительным», мне интересно, могут ли они быть кем-то, и, следовательно, они игнорируются плагином ... или, может быть, если я Неправильно в моем ручном анализе ... Но более того, я хочу поделиться опытом по этому плагину:

• Вы испытали это?
• Могу ли я полагаться на него, например, я могу сказать моему клиенту, что они могут быть уверены в OWASP-A9?
• Есть ли способ настроить его так, чтобы вы могли быть совершенно констатированными?

Заранее спасибо за ваши ответы

Answer 1

Извините за задержку ответа - я обычно не контролирую SO на вопросы о зависимости проверке. См. Мой ответ на аналогичный вопрос в списке рассылки проверки зависимости: https://groups.google.com/forum/#!topic/dependency-check/LjnemiZKeZQ

С этим конкретным ложным отрицательным он связан с тем, что NVD не может решить, какое имя поставщика должно быть для Spring Framework. ПНВ имеет по крайней мере три различных идентификаторов для версии 3.20:

• cpe:/a:pivotal:spring_framework:3.2.0 (2 уязвимости)
• cpe:/a:pivotal_software:spring_framework:3.2.0 (1 уязвимости)
• cpe:/a:springsource:spring_framework:3.2.0 (5 уязвимостей)

Этот ложный отрицательный была и патч будет включен в релиз 1.4.4 (который должен быть опубликован в течение месяца). Если вы столкнулись с дополнительными ложными срабатываниями или ложными отрицаниями - сообщите о них в качестве проблем в github repo.

Что касается вашего вопроса о надежности - я не тестировал инструмент на 100% надежный. Я рассматриваю проверку зависимостей как минимальный бар для приложений Java.

--Jeremy