Rinjae
a7aa5bc98c
- dependency-check-suppressions.xml: 오탐 및 비사용 기능 CVE 5건 억제 추가 - PortalConfigSecurity.java: CVE-2026-22732 대응 우회 로직 추가 - build.gradle: Spring 의존성 버전 정리 및 중복 핀 제거
122 lines
8.0 KiB
XML
122 lines
8.0 KiB
XML
<?xml version="1.0" encoding="UTF-8"?>
|
|
<!--
|
|
OWASP Dependency-Check 오탐(false positive) 억제 목록.
|
|
|
|
규칙
|
|
1. 억제는 "오탐"에만 쓴다. 진짜 취약점을 조용히 숨기는 용도로 쓰지 않는다.
|
|
실제 취약하지만 당장 못 올리는 경우는 억제 대신 만료일(until)을 넣어 재검토를 강제한다.
|
|
2. 항목마다 <notes> 에 판단 근거와 판단자/일자를 남긴다. 근거 없는 억제는 리뷰에서 거절한다.
|
|
3. 범위를 좁게 잡는다. cve 단건 + 특정 파일(sha1/packageUrl)이 기본이고,
|
|
cpe 나 정규식 filePath 로 넓게 억제하지 않는다.
|
|
|
|
작성법
|
|
Dependency-Check HTML 리포트의 각 취약점 옆 "Suppress" 버튼을 누르면 해당 항목의
|
|
<suppress> 블록이 그대로 생성된다. 그것을 이 파일에 붙여넣고 <notes> 만 채우면 된다.
|
|
|
|
참고: https://dependency-check.github.io/DependencyCheck/general/suppression.html
|
|
-->
|
|
<suppressions xmlns="https://jeremylong.github.io/DependencyCheck/dependency-suppression.1.3.xsd">
|
|
|
|
<!-- 예시 (실제 억제 시 주석을 풀고 값 교체)
|
|
<suppress until="2026-12-31Z">
|
|
<notes><![CDATA[
|
|
오탐 근거: 해당 CVE 는 X 기능을 사용할 때만 성립하는데 이 앱은 해당 API 를 호출하지 않음.
|
|
확인: 홍길동 / 2026-08-13 / 호출부 grep 결과 0건.
|
|
]]></notes>
|
|
<packageUrl regex="true">^pkg:maven/org\.example/example-lib@.*$</packageUrl>
|
|
<cve>CVE-2026-00000</cve>
|
|
</suppress>
|
|
-->
|
|
|
|
<!-- ================================================================================
|
|
Spring 계열 Critical 5건 (2026-08-18 리포트 기준).
|
|
|
|
공통 배경: Spring Framework 5.3.x / Spring Boot 2.7.x / Spring Security 5.7.x 는 모두 OSS EOL 이라
|
|
남은 수정본이 상용(Enterprise/Tanzu)뿐이다. JDK 8 유지 제약상 Boot 3 + Spring 6 이관 전까지는
|
|
버전 상향으로 못 없앤다. 아래는 "코드에 트리거 경로가 없음"을 근거로 한 억제이며 만료일을 둔다.
|
|
버전 범위를 5.3.x / 2.7.x / 5.7.x 로 고정해 두었으므로, 이관 후에는 억제가 자동으로 풀린다.
|
|
재검토 시 확인할 것: (1) 각 근거 grep 이 여전히 0건인지 (2) OSS 수정본이 나왔는지.
|
|
================================================================================ -->
|
|
|
|
<!-- 1. Spring Boot: Cassandra SSL 호스트명 미검증 -->
|
|
<suppress until="2027-02-28Z">
|
|
<notes><![CDATA[
|
|
CVE-2026-40974 는 Spring Boot 의 Cassandra SSL 자동설정이 SSL 번들의 호스트명 검증 설정을
|
|
드라이버에 전달하지 않는 문제다. 이 앱은 Cassandra 를 쓰지 않는다
|
|
(runtimeClasspath 에 cassandra/datastax 계열 jar 0건, spring-boot-starter-data-cassandra 미선언).
|
|
수정본 2.7.33 은 상용(Enterprise) 릴리스라 OSS 로는 올릴 수 없다.
|
|
devtools/actuator/spring-boot-admin jar 는 스캔 대상(runtimeClasspath)에는 있으나
|
|
배포 산출물에서는 build.gradle 의 localOnlyLibPrefixes 로 제외되어 WAR 에 실리지 않는다.
|
|
확인: Rinjae / 2026-08-18 / grep -ri cassandra 0건, WAR 내 devtools/actuator jar 0건.
|
|
]]></notes>
|
|
<packageUrl regex="true">^pkg:maven/org\.springframework\.boot/.*@2\.7\..*$</packageUrl>
|
|
<cve>CVE-2026-40974</cve>
|
|
</suppress>
|
|
|
|
<!-- 2. Thymeleaf SSTI 2건: starter jar 이름 기준 오탐 -->
|
|
<suppress>
|
|
<notes><![CDATA[
|
|
오탐. CVE-2026-40477 / CVE-2026-40478 은 thymeleaf 본체 3.1.3.RELEASE 이하의 표현식 샌드박스
|
|
우회 문제이고 3.1.4.RELEASE 에서 수정됐다. 이 프로젝트는 build.gradle 의 ext 에서
|
|
thymeleaf.version=3.1.4.RELEASE / thymeleaf-extras-springsecurity.version=3.1.5.RELEASE 로
|
|
올려 두었으므로 실제 실리는 jar 는 thymeleaf-3.1.4.RELEASE.jar 다.
|
|
Dependency-Check 가 spring-boot-starter-thymeleaf-2.7.18.jar(의존만 선언한 빈 starter)에
|
|
thymeleaf CPE 를 잘못 매칭한 결과다. thymeleaf 본체 jar 에 대한 탐지는 억제하지 않는다.
|
|
확인: Rinjae / 2026-08-18 / WAR 내 thymeleaf-3.1.4.RELEASE.jar, thymeleaf-spring5-3.1.4.RELEASE.jar.
|
|
]]></notes>
|
|
<packageUrl regex="true">^pkg:maven/org\.springframework\.boot/spring-boot-starter-thymeleaf@.*$</packageUrl>
|
|
<cve>CVE-2026-40477</cve>
|
|
<cve>CVE-2026-40478</cve>
|
|
</suppress>
|
|
|
|
<!-- 3. Spring Framework: JMS Jackson 역직렬화 -->
|
|
<suppress until="2027-02-28Z">
|
|
<notes><![CDATA[
|
|
CVE-2026-41855 는 org.springframework.jms.support.converter.MappingJackson2MessageConverter /
|
|
JacksonJsonMessageConverter 가 임의 클래스 인스턴스화를 허용하는 문제다(신뢰할 수 없는 JMS 환경 전제).
|
|
이 앱은 JMS 를 쓰지 않는다: runtimeClasspath 에 spring-jms 0건, 소스에 javax.jms /
|
|
JmsTemplate / MappingJackson2MessageConverter 참조 0건.
|
|
5.3.x 는 OSS 수정본이 없다(6.2.19 / 7.0.8 에서만 수정). 이미 5.3.x OSS 마지막인 5.3.39 로 올려 둔 상태다.
|
|
확인: Rinjae / 2026-08-18 / grep -rn "javax.jms|JmsTemplate|MappingJackson2MessageConverter" src 0건.
|
|
]]></notes>
|
|
<packageUrl regex="true">^pkg:maven/org\.springframework/spring-.*@5\.3\..*$</packageUrl>
|
|
<cve>CVE-2026-41855</cve>
|
|
</suppress>
|
|
|
|
<!-- 4. spring-web: HttpInvoker 역직렬화 -->
|
|
<suppress until="2027-02-28Z">
|
|
<notes><![CDATA[
|
|
CVE-2016-1000027 은 HttpInvokerServiceExporter 를 노출했을 때만 성립한다. 해당 클래스는
|
|
Spring 6.0 에서 제거됐고 5.3.x 에는 수정본이 없다(= 5.3.x 를 쓰는 한 계속 탐지된다).
|
|
이 앱은 HttpInvoker 계열을 쓰지 않는다: 소스에 HttpInvoker 참조 0건이고 외부 호출은
|
|
RestTemplate / HttpClient 기반이다.
|
|
근본 해결은 Spring 6(Boot 3, JDK 17) 이관. 이관 전까지 억제한다.
|
|
확인: Rinjae / 2026-08-18 / grep -rn HttpInvoker src 0건.
|
|
]]></notes>
|
|
<packageUrl regex="true">^pkg:maven/org\.springframework/spring-web@5\.3\..*$</packageUrl>
|
|
<cve>CVE-2016-1000027</cve>
|
|
</suppress>
|
|
|
|
<!-- 5. Spring Security: 응답 커밋 시 보안 헤더 미기록 -->
|
|
<suppress until="2027-02-28Z">
|
|
<notes><![CDATA[
|
|
CVE-2026-22732 는 응답이 커밋된 뒤 Spring Security 가 보안 헤더를 기록하지 못하는 문제다.
|
|
트리거는 Content-Length 를 setHeader / setIntHeader / addIntHeader 로 지정하는 경로다
|
|
(OnCommittedResponseWrapper 는 setContentLength / setContentLengthLong / addHeader 만 추적한다).
|
|
(1) 이 코드베이스에는 트리거가 없다: portal / elink-portal-common / elink-online-core-jpa 전체에
|
|
setIntHeader, addIntHeader, setHeader("Content-Length") 0건. 파일 다운로드는
|
|
response.setContentLength(int) 를 쓰며 실측상 보안 헤더가 정상 기록된다.
|
|
(2) 그럼에도 안전망으로 PortalConfigSecurity 에서
|
|
HeaderWriterFilter.setShouldWriteHeadersEagerly(true) 를 적용해(spring.io 권고 우회책)
|
|
요청 시작 시점에 헤더를 기록하도록 했다.
|
|
수정본 5.7.22 / 5.8.24 는 Enterprise 전용이라 OSS 로는 올릴 수 없다. 이미 5.7.x OSS 마지막인
|
|
5.7.14 로 올려 둔 상태다.
|
|
확인: Rinjae / 2026-08-18 / 동일 스택(Boot 2.7.18 + Security 5.7.14 + Tomcat 9.0.120) 프로브 앱 실측 —
|
|
우회책 미적용 시 setHeader/setIntHeader/addIntHeader 경로에서 헤더 누락 재현, 적용 후 정상 기록.
|
|
]]></notes>
|
|
<packageUrl regex="true">^pkg:maven/org\.springframework\.security/spring-security-.*@5\.7\..*$</packageUrl>
|
|
<cve>CVE-2026-22732</cve>
|
|
</suppress>
|
|
|
|
</suppressions>
|