Hacktoberfest 2026: as issues que os mantenedores marcaram para outubro, abertas e boas para iniciantes. Ver issues do Hacktoberfest

[Flight SQL] Derby dependency (test scope) flagged as vulnerable to CVE-2022-46337 with no available Maven patch

Aberta
#1,102 1 comentário 0 reações 0 responsáveis Ver no GitHub

Ninguém assumiu esta issue ainda.

Avaliação

Dificuldade
5/5
Tempo estimado
Mais de uma semana
Facilidade para iniciantes
35/100
Tipo de issue
Bug
Clareza
Razoavelmente clara
Status de atividade
Pouca atividade
Stack de tecnologia
java
Domínio
build-system, security, testing-qa

Direção de pesquisa

Comece localizando a declaração de dependência Maven do Derby no módulo flight-sql e revisando os testes que a utilizam. Compare o impacto na Java-baseline de atualizar o Derby com o de substituí-lo por outro banco de dados embarcado; considera-se concluído quando os testes de flight-sql passam e a dependência vulnerável não é mais reportada.

Escrita pelo modelo de indexação a partir do texto da issue.

Descrição

Describe the bug, including details regarding any error messages, version, and platform.

flight-sql uses org.apache.derby:derby:10.15.2.0 in test scope, which is flagged
as vulnerable to CVE-2022-46337: a critical (CVSS 9.8) LDAP authentication bypass.

There is no fix available for this dependency and there never will be.

The NVD advisory lists 10.15.2.1 as the fix for the Java 11 branch, but that
version was never published to Maven Central. The same is true for 10.14.3.0 and
10.16.1.2. The only fixed release that exists on Maven Central is 10.17.1.0
(Java 21+), which was also the last release ever made.

On 2025-10-10, the Derby PMC voted to retire the project into a read-only state.
Development and bug-fixing have ended and no further releases will be published. This
means the 10.15.x branch will remain vulnerable indefinitely with no upstream
resolution path.

Context on why the patch versions were never released:

  • DERBY-7147 — fix committed to branches, but no releases were cut for 10.14/10.15/10.16
  • DERBY-7178 — closed as "Not A Problem" by the Derby team

Since Derby is test scope only in flight-sql, there is no runtime exposure.
However, this causes persistent scanner noise for downstream consumers and the
situation will not improve on its own.

Possible paths forward:
  • Upgrade to 10.17.1.0 (requires Java 21 as test baseline for flight-sql)
  • Replace Derby with another embedded DB (e.g. H2) in flight-sql tests — likely
    the cleanest long-term option given Derby's retirement
Linguagem predominante
Java
Estrelas
95
Forks
154
Merge médio
2d 10h
PRs com merge (30d)
11

Guia de contribuição

Abrir o guia de contribuição

Primeiros passos

  1. Leia a issue inteira e depois o guia de contribuição do projeto.
  2. Comente na issue dizendo que vai assumir — evita que duas pessoas façam o mesmo trabalho.
  3. Faça um fork do repositório e trabalhe em uma branch.
  4. Abra um pull request que referencie o número da issue.

Mais de apache/arrow-java

Todas as issues de apache/arrow-java

Issues semelhantes

Mais issues de Java

Receba novas issues na sua caixa de entrada

Um resumo curto de issues do GitHub para quem está começando.