False positive reported on XNIO CVE-2023-5685 — component not present
まだ誰も着手していません。
評価
調査の方向性
ソースファイルもテストも指定されていません。まずプロジェクトの依存関係ツリーを調べ、Java NIO は存在するが org.jboss.xnio:xnio-api は存在しない状態でスキャンを再現します。XNIO アーティファクトが存在する場合にのみ CVE-2023-5685 が報告されれば完了です。
索引モデルが issue の本文から書いたものです。
説明
Describe the bug
Xray reports CVE-2023-5685 (JBoss XNIO buffer overflow) against our project. However, org.jboss.xnio:xnio-api is not present in our delivery. The scanner appears to have confused standard Java NIO (part of the JDK) with JBoss XNIO (a separate third-party library).
To Reproduce
Xray scan flags CVE-2023-5685 against a project that uses Java NIO but does NOT contain org.jboss.xnio:xnio-api in its dependency tree.
Expected behavior
CVE-2023-5685 should only be reported when org.jboss.xnio:xnio-api is actually present in the scanned artifacts. Java NIO (java.nio.*) from the JDK is a different component.
Versions
- Package: org.jboss.xnio:xnio-api — NOT PRESENT
- Scanner likely confused with: java.nio (JDK built-in)
Additional context
Red Hat advisory: https://issues.redhat.com/browse/WFCORE-6738
- 主要言語
- Java
- スター
- 331
- フォーク
- 163
- 平均マージ
- 20時間 9分
- マージ済み PR（30日）
- 1
環境構築
このプロジェクトの環境構築ファイルはまだ確認していません。まず README を読み、一般的な手順ははじめてのコントリビューションガイドを参照してください。
はじめの一歩
- issue を最後まで読み、次にプロジェクトのコントリビューションガイドを読みます。
- 着手することを issue にコメントします — 二人が同じ作業をするのを防げます。
- リポジトリをフォークし、ブランチを切って変更します。
- issue 番号を参照したプルリクエストを送ります。
jfrog/artifactory-client-java のほかの issue
-
難易度 2/5 1〜3時間 初心者へのやさしさ 65/100
jfrog/artifactory-client-java#450 · コメント 2 件 ·
-
question
難易度 2/5 1〜3時間 初心者へのやさしさ 62/100
jfrog/artifactory-client-java#375 ·
-
難易度 4/5 3〜5日 初心者へのやさしさ 35/100
jfrog/artifactory-client-java#448 ·
-
難易度 3/5 1〜2日 初心者へのやさしさ 45/100
jfrog/artifactory-client-java#447 ·
-
難易度 4/5 3〜5日 初心者へのやさしさ 45/100
jfrog/artifactory-client-java#444 ·
jfrog/artifactory-client-java の issue をすべて見る
似ている issue
-
難易度 1/5 1時間未満 初心者へのやさしさ 92/100
-
難易度 2/5 1〜3時間 初心者へのやさしさ 68/100
-
難易度 2/5 1〜3時間 初心者へのやさしさ 72/100
oracle/javavscode#652 ·
-
難易度 2/5 1〜3時間 初心者へのやさしさ 78/100
OpenAPITools/openapi-generator#25014 ·
メンテナーはふだん 1 日以内に返信
-
難易度 1/5 1時間未満 初心者へのやさしさ 92/100
AloisSeckar/demos-java#380 ·