jar包依赖漏洞升级思路

以你之姓@ 2024-03-16 21:39 79阅读 0赞

**背景：接到通告，部分依赖存在漏洞风险，项目需要进行依赖版本升级**

<table> 
 <thead> 
  <tr> 
   <th>依赖名称</th> 
   <th>问题描述</th> 
   <th>风险</th> 
   <th>解决方案</th> 
  </tr> 
 </thead> 
 <tbody> 
  <tr> 
   <td>Jackson-databind</td> 
   <td>ackson-databind&lt;=2.910.8本存在远程代码执行漏洞</td> 
   <td>服务器沦陷</td> 
   <td>升级Jackson-databind&gt;2.9.10.8版本</td> 
  </tr> 
  <tr> 
   <td>Xstream</td> 
   <td>XStream &lt;=1.4.19版本存在反序列漏洞</td> 
   <td>服务器沦陷</td> 
   <td>升级XStream &gt;1.4.19版本</td> 
  </tr> 
 </tbody> 
</table>

## 1、整理思路 ##

（1）我们的目标肯定是要将项目的依赖汇聚起来并且能够查询，最好的办法就是打印项目依赖树  
（2）依赖树打印出来后，我们就可以直接查询相关的依赖包是包含在哪些依赖里面

## 2、安装打印插件Maven Dependency Checker ##

![在这里插入图片描述][a1f22eb2f5234e53b3559933c4782b6f.png]

## 3、用idea打开项目，在父工程pom目录下，执行maven命令 ##

D:\code\shop-cloud> mvn dependency:tree

## 4、查看打印结果，大概如下。可以直接Ctrl+F查询有问题依赖，进而找到具体引用的地方 ##

![在这里插入图片描述][6336395eafe9498cb126b2a7928da9a3.png]

## 5、到[maven仓库][maven]查找适合版本的依赖，Vulnerabilities项尽可能不要有红色字体，有红色字体的都是有一些问题的版本。 ##

![在这里插入图片描述][f7febad2c5b34e29b20a92e3f8e5984e.png]

## 6、进行依赖升级 ##

这里拿jackson-databind为例，在父工程pom中properties先添加版本号，再添加依赖

<properties>
    	<jackson.version>2.11.0</jackson.version>
    </properties>
    
    <dependencies>
    	<dependency>
    	    <groupId>com.fasterxml.jackson.core</groupId>
    	    <artifactId>jackson-databind</artifactId>
    	    <version>${jackson.version}</version>
    	</dependency>
    	<dependency>
    	    <groupId>com.fasterxml.jackson.core</groupId>
    	    <artifactId>jackson-core</artifactId>
    	    <version>${jackson.version}</version>
    	</dependency>
    </dependencies>

## 7、检查当前项目实际引用的依赖版本 ##

右键点击项目=》maven=>show Effective POM  
![在这里插入图片描述][78466c8e124546848581023a981c7e47.png]  
Ctrl+F 搜索依赖检查，正确无误  
![在这里插入图片描述][662864271b1243c3928b36ed67c148d2.png]

## 8、还差很重要的两步，以下两个步骤都通过，则升级成功！ ##

（1）编译项目，需要通过  
（2）运行项目，需要通过

该流程说明主要是记录一下解决问题的流程，也结合了网上的意见说明，并非唯一手段

[a1f22eb2f5234e53b3559933c4782b6f.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/15/d32be7aadfa448c5a4fd6d3449c4c3f9.png
[6336395eafe9498cb126b2a7928da9a3.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/15/0f6a3ac560cd4d1da034fab8b87922a7.png
[maven]: https://mvnrepository.com/
[f7febad2c5b34e29b20a92e3f8e5984e.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/15/6d84f2924f5342a78652df8f3a3b438b.png
[78466c8e124546848581023a981c7e47.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/15/de43c351d4d74bad9e7893fe43f72a9c.png
[662864271b1243c3928b36ed67c148d2.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/15/45cb0d5bc2ce4c4abe8207c6c7160d76.png