eapim-portal/ci/dependency-check-suppressions.xml

<?xml version="1.0" encoding="UTF-8"?>
<!--
  OWASP Dependency-Check 오탐(false positive) 억제 목록.

  규칙
    1. 억제는 "오탐"에만 쓴다. 진짜 취약점을 조용히 숨기는 용도로 쓰지 않는다.
       실제 취약하지만 당장 못 올리는 경우는 억제 대신 만료일(until)을 넣어 재검토를 강제한다.
    2. 항목마다 <notes> 에 판단 근거와 판단자/일자를 남긴다. 근거 없는 억제는 리뷰에서 거절한다.
    3. 범위를 좁게 잡는다. cve 단건 + 특정 파일(sha1/packageUrl)이 기본이고,
       cpe 나 정규식 filePath 로 넓게 억제하지 않는다.

  작성법
    Dependency-Check HTML 리포트의 각 취약점 옆 "Suppress" 버튼을 누르면 해당 항목의
    <suppress> 블록이 그대로 생성된다. 그것을 이 파일에 붙여넣고 <notes> 만 채우면 된다.

  참고: https://dependency-check.github.io/DependencyCheck/general/suppression.html
-->
<suppressions xmlns="https://jeremylong.github.io/DependencyCheck/dependency-suppression.1.3.xsd">

    <!-- 예시 (실제 억제 시 주석을 풀고 값 교체)
    <suppress until="2026-12-31Z">
        <notes><![CDATA[
            오탐 근거: 해당 CVE 는 X 기능을 사용할 때만 성립하는데 이 앱은 해당 API 를 호출하지 않음.
            확인: 홍길동 / 2026-08-13 / 호출부 grep 결과 0건.
        ]]></notes>
        <packageUrl regex="true">^pkg:maven/org\.example/example-lib@.*$</packageUrl>
        <cve>CVE-2026-00000</cve>
    </suppress>
    -->

    <!-- ================================================================================
         Spring 계열 Critical 5건 (2026-08-18 리포트 기준).

         공통 배경: Spring Framework 5.3.x / Spring Boot 2.7.x / Spring Security 5.7.x 는 모두 OSS EOL 이라
         남은 수정본이 상용(Enterprise/Tanzu)뿐이다. JDK 8 유지 제약상 Boot 3 + Spring 6 이관 전까지는
         버전 상향으로 못 없앤다. 아래는 "코드에 트리거 경로가 없음"을 근거로 한 억제이며 만료일을 둔다.
         버전 범위를 5.3.x / 2.7.x / 5.7.x 로 고정해 두었으므로, 이관 후에는 억제가 자동으로 풀린다.
         재검토 시 확인할 것: (1) 각 근거 grep 이 여전히 0건인지 (2) OSS 수정본이 나왔는지.
         ================================================================================ -->

    <!-- 1. Spring Boot: Cassandra SSL 호스트명 미검증 -->
    <suppress until="2027-02-28Z">
        <notes><![CDATA[
            CVE-2026-40974 는 Spring Boot 의 Cassandra SSL 자동설정이 SSL 번들의 호스트명 검증 설정을
            드라이버에 전달하지 않는 문제다. 이 앱은 Cassandra 를 쓰지 않는다
            (runtimeClasspath 에 cassandra/datastax 계열 jar 0건, spring-boot-starter-data-cassandra 미선언).
            수정본 2.7.33 은 상용(Enterprise) 릴리스라 OSS 로는 올릴 수 없다.
            devtools/actuator/spring-boot-admin jar 는 스캔 대상(runtimeClasspath)에는 있으나
            배포 산출물에서는 build.gradle 의 localOnlyLibPrefixes 로 제외되어 WAR 에 실리지 않는다.
            확인: Rinjae / 2026-08-18 / grep -ri cassandra 0건, WAR 내 devtools/actuator jar 0건.
        ]]></notes>
        <packageUrl regex="true">^pkg:maven/org\.springframework\.boot/.*@2\.7\..*$</packageUrl>
        <cve>CVE-2026-40974</cve>
    </suppress>

    <!-- 2. Thymeleaf SSTI 2건: starter jar 이름 기준 오탐 -->
    <suppress>
        <notes><![CDATA[
            오탐. CVE-2026-40477 / CVE-2026-40478 은 thymeleaf 본체 3.1.3.RELEASE 이하의 표현식 샌드박스
            우회 문제이고 3.1.4.RELEASE 에서 수정됐다. 이 프로젝트는 build.gradle 의 ext 에서
            thymeleaf.version=3.1.5.RELEASE / thymeleaf-extras-springsecurity.version=3.1.5.RELEASE 로
            올려 두었으므로 실제 실리는 jar 는 thymeleaf-3.1.5.RELEASE.jar 다.
            Dependency-Check 가 spring-boot-starter-thymeleaf-2.7.18.jar(의존만 선언한 빈 starter)에
            thymeleaf CPE 를 잘못 매칭한 결과다. thymeleaf 본체 jar 에 대한 탐지는 억제하지 않는다.
            확인: Rinjae / 2026-08-18 / WAR 내 thymeleaf 본체 jar 가 수정본임을 확인.
            재확인: Rinjae / 2026-09-15 / war classpath 실측 — thymeleaf-3.1.5.RELEASE.jar,
                  thymeleaf-spring5-3.1.5.RELEASE.jar, thymeleaf-extras-springsecurity5-3.1.5.RELEASE.jar.
                  (2026-08-18 주석의 3.1.4 표기는 이후 3.1.5 상향분이 반영되지 않은 것이라 함께 갱신함.)
        ]]></notes>
        <packageUrl regex="true">^pkg:maven/org\.springframework\.boot/spring-boot-starter-thymeleaf@.*$</packageUrl>
        <cve>CVE-2026-40477</cve>
        <cve>CVE-2026-40478</cve>
    </suppress>

    <!-- 3. Spring Framework: JMS Jackson 역직렬화 -->
    <suppress until="2027-02-28Z">
        <notes><![CDATA[
            CVE-2026-41855 는 org.springframework.jms.support.converter.MappingJackson2MessageConverter /
            JacksonJsonMessageConverter 가 임의 클래스 인스턴스화를 허용하는 문제다(신뢰할 수 없는 JMS 환경 전제).
            이 앱은 JMS 를 쓰지 않는다: runtimeClasspath 에 spring-jms 0건, 소스에 javax.jms /
            JmsTemplate / MappingJackson2MessageConverter 참조 0건.
            5.3.x 는 OSS 수정본이 없다(6.2.19 / 7.0.8 에서만 수정). 이미 5.3.x OSS 마지막인 5.3.39 로 올려 둔 상태다.
            확인: Rinjae / 2026-08-18 / grep -rn "javax.jms|JmsTemplate|MappingJackson2MessageConverter" src 0건.
        ]]></notes>
        <packageUrl regex="true">^pkg:maven/org\.springframework/spring-.*@5\.3\..*$</packageUrl>
        <cve>CVE-2026-41855</cve>
    </suppress>

    <!-- 4. spring-web: HttpInvoker 역직렬화 -->
    <suppress until="2027-02-28Z">
        <notes><![CDATA[
            CVE-2016-1000027 은 HttpInvokerServiceExporter 를 노출했을 때만 성립한다. 해당 클래스는
            Spring 6.0 에서 제거됐고 5.3.x 에는 수정본이 없다(= 5.3.x 를 쓰는 한 계속 탐지된다).
            이 앱은 HttpInvoker 계열을 쓰지 않는다: 소스에 HttpInvoker 참조 0건이고 외부 호출은
            RestTemplate / HttpClient 기반이다.
            근본 해결은 Spring 6(Boot 3, JDK 17) 이관. 이관 전까지 억제한다.
            확인: Rinjae / 2026-08-18 / grep -rn HttpInvoker src 0건.
        ]]></notes>
        <packageUrl regex="true">^pkg:maven/org\.springframework/spring-web@5\.3\..*$</packageUrl>
        <cve>CVE-2016-1000027</cve>
    </suppress>

    <!-- 5. Spring Security: 응답 커밋 시 보안 헤더 미기록 -->
    <suppress until="2027-02-28Z">
        <notes><![CDATA[
            CVE-2026-22732 는 응답이 커밋된 뒤 Spring Security 가 보안 헤더를 기록하지 못하는 문제다.
            트리거는 Content-Length 를 setHeader / setIntHeader / addIntHeader 로 지정하는 경로다
            (OnCommittedResponseWrapper 는 setContentLength / setContentLengthLong / addHeader 만 추적한다).
            (1) 이 코드베이스에는 트리거가 없다: portal / elink-portal-common / elink-online-core-jpa 전체에
                setIntHeader, addIntHeader, setHeader("Content-Length") 0건. 파일 다운로드는
                response.setContentLength(int) 를 쓰며 실측상 보안 헤더가 정상 기록된다.
            (2) 그럼에도 안전망으로 PortalConfigSecurity 에서
                HeaderWriterFilter.setShouldWriteHeadersEagerly(true) 를 적용해(spring.io 권고 우회책)
                요청 시작 시점에 헤더를 기록하도록 했다.
            수정본 5.7.22 / 5.8.24 는 Enterprise 전용이라 OSS 로는 올릴 수 없다. 이미 5.7.x OSS 마지막인
            5.7.14 로 올려 둔 상태다.
            확인: Rinjae / 2026-08-18 / 동일 스택(Boot 2.7.18 + Security 5.7.14 + Tomcat 9.0.120) 프로브 앱 실측 —
            우회책 미적용 시 setHeader/setIntHeader/addIntHeader 경로에서 헤더 누락 재현, 적용 후 정상 기록.
        ]]></notes>
        <packageUrl regex="true">^pkg:maven/org\.springframework\.security/spring-security-.*@5\.7\..*$</packageUrl>
        <cve>CVE-2026-22732</cve>
    </suppress>

    <!-- ================================================================================
         Spring Boot High 4건 (2026-09-15 리포트 기준, spring-boot-2.7.18.jar 에 탐지됨).

         공통 배경: 4건 모두 수정본이 2.7.33 이며 2.7.x 는 OSS EOL(마지막 OSS 릴리스 2.7.18)이라
         상용(Enterprise/Tanzu) 구독 없이는 버전 상향으로 없앨 수 없다. 위 Critical 5건과 같은 제약이다.
         아래는 "이 앱의 설정/배포 형태에 트리거 경로가 없음"을 근거로 한 억제이며 만료일을 둔다.
         재검토 시 확인할 것: (1) 각 근거 grep 이 여전히 0건인지 (2) OSS 수정본이 나왔는지
                              (3) Boot 3 이관 여부.
         ================================================================================ -->

    <!-- 6. Spring Boot: CloudFoundry Actuator 인증 우회 -->
    <suppress until="2027-02-28Z">
        <notes><![CDATA[
            CVE-2026-22733 은 CloudFoundry Actuator 엔드포인트 경로(/cloudfoundryapplication) 아래에
            인증이 필요한 애플리케이션 엔드포인트가 선언됐을 때 인증을 우회당하는 문제다.
            취약 코드는 spring-boot-actuator-autoconfigure 의 cloudfoundry 패키지에 있고,
            해당 자동설정은 CloudFoundry 런타임(VCAP_APPLICATION)에서만 활성화된다.
            (1) 배포 산출물에 actuator 계열 jar 가 없다. build.gradle 의 localOnlyLibPrefixes 가
                war/bootWar classpath 에서 devtools/actuator/micrometer/spring-boot-admin 을 제거한다.
            (2) CloudFoundry 가 아니라 WebLogic 에 WAR 로 배포한다. CF 관련 설정/코드도 없다.
            수정본 2.7.33 은 상용 릴리스라 OSS 로는 올릴 수 없다.
            확인: Rinjae / 2026-09-15 / war·bootWar classpath 실측 — actuator/devtools/micrometer/SBA 0건
                  (spring-boot-2.7.18.jar 본체만 포함). 3개 모듈 전체 grep -rE "cloudfoundry|VCAP_" 0건.
        ]]></notes>
        <packageUrl regex="true">^pkg:maven/org\.springframework\.boot/.*@2\.7\..*$</packageUrl>
        <cve>CVE-2026-22733</cve>
    </suppress>

    <!-- 7. Spring Boot DevTools: remote secret 타이밍 공격 -->
    <suppress until="2027-02-28Z">
        <notes><![CDATA[
            CVE-2026-40972 는 DevTools 원격 연결의 secret 비교가 상수시간이 아니어서 타이밍 공격으로
            secret 을 알아내고 원격 클래스 업로드(RCE)까지 갈 수 있는 문제다.
            (1) 서버측 원격 DevTools 는 spring.devtools.remote.secret 이 설정돼야만 활성화된다.
                3개 모듈 전체에 해당 프로퍼티가 없다. yml 의 devtools 설정은 restart/livereload 뿐이고
                restart 는 모든 프로파일에서 enabled: false 다.
            (2) 배포 산출물에 devtools jar 자체가 없다. developmentOnly 로 선언돼 runtimeClasspath
                (= Dependency-Check 스캔 대상)에는 올라오지만 war/bootWar 에서는 제외된다.
            수정본 2.7.33 은 상용 릴리스라 OSS 로는 올릴 수 없다.
            확인: Rinjae / 2026-09-15 / grep -rE "devtools\.remote|remote\.secret|RemoteSpringApplication" 0건,
                  war·bootWar classpath 에 spring-boot-devtools 0건(스캔 대상 libs 에는 1건 존재).
        ]]></notes>
        <packageUrl regex="true">^pkg:maven/org\.springframework\.boot/.*@2\.7\..*$</packageUrl>
        <cve>CVE-2026-40972</cve>
    </suppress>

    <!-- 8. Spring Boot: ApplicationTemp 디렉터리 선점 -->
    <suppress until="2027-02-28Z">
        <notes><![CDATA[
            CVE-2026-40973 은 같은 호스트의 로컬 공격자가 ApplicationTemp 가 쓰는 임시 디렉터리를
            선점했을 때 성립한다. 실제 피해(세션 탈취/가젯체인)는 server.servlet.session.persistent=true
            로 세션을 파일에 영속화하고 그 상태가 재기동을 넘어 유지될 때의 이야기다.
            (1) server.servlet.session.persistent 를 설정하지 않는다(기본 false). 3개 모듈 grep 0건.
            (2) 이 포털의 세션 상태는 파일이 아니라 DB 에 보관한다(apps/session/, DatabaseSessionVerifier).
            (3) 운영 배포는 WebLogic WAR 이라 세션 처리 주체가 내장 Tomcat 이 아니다.
            spring-boot-2.7.18.jar 본체는 배포본에 실리므로 오탐이 아니라 "설정상 트리거 없음" 억제다.
            수정본 2.7.33 은 상용 릴리스라 OSS 로는 올릴 수 없다.
            확인: Rinjae / 2026-09-15 / grep -rE "session\.persistent|ApplicationTemp" 3개 모듈 0건.
        ]]></notes>
        <packageUrl regex="true">^pkg:maven/org\.springframework\.boot/.*@2\.7\..*$</packageUrl>
        <cve>CVE-2026-40973</cve>
    </suppress>

    <!-- 9. Spring Boot: ${random.value} 를 secret 으로 쓰면 예측 가능 -->
    <suppress until="2027-02-28Z">
        <notes><![CDATA[
            CVE-2026-40975 는 프로퍼티 플레이스홀더 ${random.value} / ${random.int} / ${random.long} 이
            암호학적으로 안전하지 않아 secret 용도로 쓰면 예측 가능하다는 문제다(${random.uuid} 는 무관).
            이 프로젝트는 ${random.*} 플레이스홀더를 어디에서도 쓰지 않는다.
            (참고: 인증토큰/임시비밀번호 등 실제 비밀값 생성은 애플리케이션 코드에서 처리하며
             이 CVE 의 대상인 RandomValuePropertySource 와 무관하다.)
            spring-boot-2.7.18.jar 본체는 배포본에 실리므로 "미사용" 근거의 억제다.
            수정본 2.7.33 은 상용 릴리스라 OSS 로는 올릴 수 없다.
            확인: Rinjae / 2026-09-15 / grep -rE "random\.value|random\.int|random\.long" 3개 모듈 0건.
        ]]></notes>
        <packageUrl regex="true">^pkg:maven/org\.springframework\.boot/.*@2\.7\..*$</packageUrl>
        <cve>CVE-2026-40975</cve>
    </suppress>

    <!-- 10. elink-common-data: 이더리움 토큰 CVE 오탐 (패키지명 'eai' 매칭) -->
    <suppress>
        <notes><![CDATA[
            오탐. CVE-2019-15079 는 'EAI' 라는 이더리움 ERC-20 토큰의 스마트 컨트랙트(Solidity) 생성자에
            오타가 있어 토큰을 무상 취득할 수 있는 문제다. CPE 가 cpe:2.3:a:eai_project:eai:*:* 이며
            자바 라이브러리와는 아무 관련이 없다.
            오탐이 난 이유: elink-common-data-4.5.5.jar 는 MANIFEST 에 Manifest-Version 한 줄뿐이고
            pom.properties 도 없어서 Dependency-Check 가 벤더/제품을 판단할 근거가 없다. 그래서
            유일한 패키지 경로인 com/eactive/eai/data 에서 제품명을 'eai' 로 추론해 위 CPE 에 매칭했다.
            여기서 eai 는 사내 EAI(Enterprise Application Integration) 의 약어다.
            버전을 고정하지 않은 이유: 원인이 패키지명이라 이 아티팩트의 버전을 올려도 같은 오탐이 재발한다.
            확인: Rinjae / 2026-09-15 / jar 내부 실측 — 최상위 패키지 com/eactive/eai/data 단일,
                  .sol/ethereum/token 관련 파일 0건, 총 45개 항목. SHA-1 7e2b7168604d4fbd8c383a4cd7558e8581477a78
                  로 리포트 대상 jar 와 동일함을 확인. NVD 원문 CPE 대조 완료.
        ]]></notes>
        <packageUrl regex="true">^pkg:maven/com\.eactive\.elink\.common/elink-common-data@.*$</packageUrl>
        <cve>CVE-2019-15079</cve>
    </suppress>

    <!-- 11. spring-boot-admin-client: SBA 서버 SSTI 오탐 -->
    <suppress>
        <notes><![CDATA[
            오탐. CVE-2023-38286 은 Thymeleaf 3.1.1.RELEASE 이하의 샌드박스 우회를 Spring Boot Admin
            서버에서 SSTI/코드실행으로 엮을 수 있다는 내용이고, 성립 조건이 "MailNotifier 활성화 +
            UI 를 통한 환경변수 쓰기 권한"이다. 세 가지 이유로 이 프로젝트에는 성립하지 않는다.
            (1) 우리가 쓰는 건 서버가 아니라 client 다. spring-boot-admin-client-2.7.16.jar 안에는
                de/codecentric/boot/admin/client/** 의 등록(registration)·설정 클래스뿐이고
                MailNotifier / thymeleaf 템플릿 / html 리소스가 0건이다. 취약 코드가 있는
                spring-boot-admin-server 는 의존성에 아예 없다.
            (2) thymeleaf 를 3.1.5.RELEASE 로 올려 두어 취약 범위(3.1.1 이하)를 벗어난다. 위 2번 항목 참고.
            (3) 배포 산출물에 SBA jar 자체가 없다. build.gradle 의 localOnlyLibPrefixes 가
                war/bootWar classpath 에서 spring-boot-admin-* 을 제거한다(로컬 모니터링 전용).
            NVD 의 CPE 는 cpe:2.3:a:codecentric:spring_boot_admin:* (versionEndIncluding 3.1.0) 이라
            client/server 구분이 없어 2.7.16 도 범위에 들어온다. Dependency-Check 가 이 CPE 를
            client 아티팩트에 그대로 매칭한 것이 오탐의 원인이다.
            확인: Rinjae / 2026-09-15 / jar 내부 실측 — MailNotifier/thymeleaf/html 0건,
                  SHA-1 04c3df4a292fb879555f61db19e5bf0b7c8fc54b 로 리포트 대상과 동일.
                  war classpath 실측 — spring-boot-admin-* 0건, thymeleaf-3.1.5.RELEASE.jar 포함.
        ]]></notes>
        <packageUrl regex="true">^pkg:maven/de\.codecentric/spring-boot-admin-.*@.*$</packageUrl>
        <cve>CVE-2023-38286</cve>
    </suppress>

</suppressions>