fix: remove insecure transitive dependency #100
Conversation
It seems like the app runs fine without this dependency, but who knows.
| <exclusions> | ||
| <exclusion> | ||
| <groupId>org.bouncycastle</groupId> | ||
| <artifactId>bcprov-jdk15on</artifactId> | ||
| </exclusion> | ||
| </exclusions> | ||
| </dependency> |
There was a problem hiding this comment.
Tää taitaa estää haavoittuvan depsun päätymisen classpathiin ainoastaan tämän yhden depsun osalta? (exclusion on määritetty dependencyn scopessa)
Jos mikään muu depsu sattuu riippumaan samasta haavoittuvasta depsusta, päätyykö se silloin classpathiin?
There was a problem hiding this comment.
Vähän mietin onko tästä exclusionista varsinaisesti mitään iloa. Jos softa toimii ilman excludattua kirjastoa, se lienee aika selvä merkki ettei haavoittuvaa koodia ole käytössä.
Toki estämällä haavoittuvan depsun lataaminen kokonaan saadaan haavoittuvan koodin käyttö virhetilanteeksi, jos jokin koodimuutos ottaisi haavoittuvia osia käyttöön, joten on siitä ehkä jotain hyötyä.
There was a problem hiding this comment.
Joo, vain tämän yhden depsun osalta, ymmärtääkseni. Toisaalta jos jokin muu depsu toisi tuon mukaan classpathiin niin IDEA varoittaisi sitten siitäkin. Dependabot hassusti ei varoita tästä ollenkaan.
There was a problem hiding this comment.
Hmm, osaako dependabot edes reagoida jos haavoittuvuuden korjaavaa versiota ei vielä ole julkaistu? Vai eikö se haista transitiivisten riippuvuuksien haavoittuvuuksia? 🤔
There was a problem hiding this comment.
Periaatteessa hieman lisäturvaa voisi saada kieltämällä haavoittuvan depsun käyttö kokonaan. En tosin tiedä onko noin raskaalla lekalla huitominen tarpeen 🤔
There was a problem hiding this comment.
Tuo on kyllä se oikea ratkaisu tässä. Siihen voi sitten lisätä kommentin miksi otettiin näin raju ase käyttöön. Hyvä löytö.
|
Avasin #126 erikseen, suljen tämän. |
It seems like the app runs fine without this dependency, but who knows.
This is a suggestion PR; I'm not sure this is the right approach.
There is no fixed release of
org.bouncycastle.bcprov-jdk15on. There are newer versions oforg.bouncycastle.bcprov-jdk18on, but I failed to figure out if it's possible to force a dep to use another artifact entirely as its dependency.