Skip to content
New issue

Have a question about this project? Sign up for a free GitHub account to open an issue and contact its maintainers and the community.

Sign up for GitHub

By clicking “Sign up for GitHub”, you agree to our terms of service and privacy statement. We’ll occasionally send you account related emails.

Already on GitHub? Sign in to your account

fix: remove insecure transitive dependency #100

Closed
wants to merge 1 commit into from
Closed

fix: remove insecure transitive dependency #100

Changes from all commits
Commits
Show all changes
1 commit
Select commit
File filter

Filter by extension

Filter by extension
Conversations
Failed to load comments.
Loading
Jump to
Jump to file
Failed to load files.
Loading
Diff view
Diff view
6 changes: 6 additions & 0 deletions server/pom.xml
View file
Open in desktop
Original file line number Diff line number Diff line change
Expand Up @@ -52,6 +52,12 @@
<groupId>org.springframework.security</groupId>
<artifactId>spring-security-cas</artifactId>
<version>6.3.3</version>
<exclusions>
<exclusion>
<groupId>org.bouncycastle</groupId>
<artifactId>bcprov-jdk15on</artifactId>
</exclusion>
</exclusions>
</dependency>
Comment on lines +55 to 61
Copy link
Contributor

Choose a reason for hiding this comment

The reason will be displayed to describe this comment to others. Learn more.

Tää taitaa estää haavoittuvan depsun päätymisen classpathiin ainoastaan tämän yhden depsun osalta? (exclusion on määritetty dependencyn scopessa)

Jos mikään muu depsu sattuu riippumaan samasta haavoittuvasta depsusta, päätyykö se silloin classpathiin?

Copy link
Contributor

Choose a reason for hiding this comment

The reason will be displayed to describe this comment to others. Learn more.

Vähän mietin onko tästä exclusionista varsinaisesti mitään iloa. Jos softa toimii ilman excludattua kirjastoa, se lienee aika selvä merkki ettei haavoittuvaa koodia ole käytössä.

Toki estämällä haavoittuvan depsun lataaminen kokonaan saadaan haavoittuvan koodin käyttö virhetilanteeksi, jos jokin koodimuutos ottaisi haavoittuvia osia käyttöön, joten on siitä ehkä jotain hyötyä.

Copy link
Contributor Author

Choose a reason for hiding this comment

The reason will be displayed to describe this comment to others. Learn more.

Joo, vain tämän yhden depsun osalta, ymmärtääkseni. Toisaalta jos jokin muu depsu toisi tuon mukaan classpathiin niin IDEA varoittaisi sitten siitäkin. Dependabot hassusti ei varoita tästä ollenkaan.

Copy link
Contributor

Choose a reason for hiding this comment

The reason will be displayed to describe this comment to others. Learn more.

Hmm, osaako dependabot edes reagoida jos haavoittuvuuden korjaavaa versiota ei vielä ole julkaistu? Vai eikö se haista transitiivisten riippuvuuksien haavoittuvuuksia? 🤔

Copy link
Contributor

Choose a reason for hiding this comment

The reason will be displayed to describe this comment to others. Learn more.

Periaatteessa hieman lisäturvaa voisi saada kieltämällä haavoittuvan depsun käyttö kokonaan. En tosin tiedä onko noin raskaalla lekalla huitominen tarpeen 🤔

Copy link
Contributor Author

Choose a reason for hiding this comment

The reason will be displayed to describe this comment to others. Learn more.

Tuo on kyllä se oikea ratkaisu tässä. Siihen voi sitten lisätä kommentin miksi otettiin näin raju ase käyttöön. Hyvä löytö.

<dependency>
<groupId>org.springframework.boot</groupId>
Expand Down