{"id":92519,"date":"2020-08-28T07:42:26","date_gmt":"2020-08-28T05:42:26","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/devsecops-princzipy-raboty-i-sravnenie-sca-chast-pervaya"},"modified":"2020-08-28T07:42:26","modified_gmt":"2020-08-28T05:42:26","slug":"devsecops-princzipy-raboty-i-sravnenie-sca-chast-pervaya","status":"publish","type":"post","link":"https:\/\/prohoster.info\/hu\/blog\/administrirovanie\/devsecops-princzipy-raboty-i-sravnenie-sca-chast-pervaya","title":{"rendered":"DevSecOps: m\u0171k\u00f6d\u00e9si elvek \u00e9s SCA \u00f6sszehasonl\u00edt\u00e1s. Els\u0151 r\u00e9sz","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"<p>A szoftver\u00f6sszetev\u0151-elemz\u00e9s (SCA) jelent\u0151s\u00e9ge a fejleszt\u00e9si folyamatban n\u0151, ahogy \u00e9vente megjelennek a ny\u00edlt forr\u00e1sk\u00f3d\u00fa k\u00f6nyvt\u00e1rak sebezhet\u0151s\u00e9geir\u0151l sz\u00f3l\u00f3 jelent\u00e9sek, amelyeket a Synopsys, Sonatype, Snyk \u00e9s White Source k\u00f6zz\u00e9tesznek. A jelent\u00e9s szerint <noindex><a rel=\"nofollow\" href=\"https:\/\/www.whitesourcesoftware.com\/open-source-vulnerability-management-report\/\">A ny\u00edlt forr\u00e1sk\u00f3d\u00fa biztons\u00e1gi sebezhet\u0151s\u00e9gek \u00e1llapota 2020<\/a><\/noindex> a 2019-ben felfedezett ny\u00edlt forr\u00e1sk\u00f3d\u00fa sebezhet\u0151s\u00e9gek sz\u00e1ma majdnem m\u00e1sf\u00e9lszeres\u00e9re n\u0151tt az el\u0151z\u0151 \u00e9vhez k\u00e9pest, ennek ellen\u00e9re a ny\u00edlt forr\u00e1sk\u00f3d\u00fa komponenseket a projektek 60%-80%-\u00e1ban haszn\u00e1lj\u00e1k. Ha f\u00fcggetlen v\u00e9lem\u00e9nyre hivatkozunk, akkor a SCA folyamatokat az OWASP SAMM \u00e9s a BSIMM k\u00fcl\u00f6n gyakorlataik\u00e9nt eml\u00edtik a \u00e9retts\u00e9gi mutat\u00f3k\u00e9nt, \u00e9s 2020 els\u0151 fel\u00e9ben az OWASP \u00faj szabv\u00e1nyt adott ki, az OWASP Szoftverkomponens-ellen\u0151rz\u00e9si Szabv\u00e1nyt (SCVS), amely a ny\u00edlt forr\u00e1sk\u00f3d\u00fa komponensek ellen\u0151rz\u00e9s\u00e9re vonatkoz\u00f3 legjobb gyakorlatokat ny\u00fajt a szoftverell\u00e1t\u00e1si l\u00e1ncban.<\/p>\n<p><img decoding=\"async\" alt=\"DevSecOps: m\u0171k\u00f6d\u00e9si elvek \u00e9s SCA \u00f6sszehasonl\u00edt\u00e1s. Els\u0151 r\u00e9sz\" src=\"\/wp-content\/uploads\/2020\/08\/2a82121d42f9d317f3862a2d7869fdd6.png\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<noindex><a rel=\"nofollow\" name=\"habracut\"><\/a><\/noindex><br \/>\nAz egyik legszembet\u0171n\u0151bb eset <noindex><a rel=\"nofollow\" href=\"https:\/\/xakep.ru\/2017\/09\/14\/equifax-dejstvitelno-vzlomali-cherez-bag-v-apache-struts-no-uyazvimost-okazalas-staroj\/\">t\u00f6rt\u00e9nt<\/a><\/noindex> az Equifax c\u00e9ggel, 2017 m\u00e1jus\u00e1ban t\u00f6rt\u00e9nt. Ismeretlen elk\u00f6vet\u0151k 143 milli\u00f3 amerikai adataihoz jutottak, bele\u00e9rtve a teljes neveket, c\u00edmeket, t\u00e1rsadalombiztos\u00edt\u00e1si sz\u00e1mokat \u00e9s jogos\u00edtv\u00e1nyokat. 209 000 esetben a dokumentumokban az \u00e1ldozatok bankk\u00e1rtya-inform\u00e1ci\u00f3i is szerepeltek. Ez az adatlop\u00e1s a kritikus sebezhet\u0151s\u00e9g kiakn\u00e1z\u00e1sa miatt k\u00f6vetkezett be az Apache Struts 2 (CVE-2017-5638) rendszerben, mik\u00f6zben a jav\u00edt\u00e1s m\u00e1r 2017 m\u00e1rcius\u00e1ban megjelent. A c\u00e9gnek k\u00e9t h\u00f3napja volt a friss\u00edt\u00e9s telep\u00edt\u00e9s\u00e9re, de ezzel senki sem foglalkozott.<\/p>\n<p>Ez a cikk a SCA v\u00e9grehajt\u00e1s\u00e1hoz sz\u00fcks\u00e9ges eszk\u00f6z kiv\u00e1laszt\u00e1s\u00e1nak k\u00e9rd\u00e9s\u00e9t t\u00e1rgyalja, az elemz\u00e9s eredm\u00e9ny\u00e9nek min\u0151s\u00e9ge szempontj\u00e1b\u00f3l. Funkcion\u00e1lis \u00f6sszehasonl\u00edt\u00e1st is bemutatunk. A CI\/CD integr\u00e1ci\u00f3s folyamatait \u00e9s lehet\u0151s\u00e9geit a k\u00f6vetkez\u0151 publik\u00e1ci\u00f3kra hagyjuk. Az OWASP egy sz\u00e9les eszk\u00f6zlist\u00e1t terjesztett el\u0151 <noindex><a rel=\"nofollow\" href=\"https:\/\/owasp.org\/www-community\/Component_Analysis\">a weboldal\u00e1n<\/a><\/noindex>, de a jelenlegi \u00e1ttekint\u00e9s keret\u00e9ben csak a legn\u00e9pszer\u0171bb ny\u00edlt forr\u00e1sk\u00f3d\u00fa eszk\u00f6zt, a Dependency Check-et, a kev\u00e9sb\u00e9 ismert ny\u00edlt forr\u00e1sk\u00f3d\u00fa platformot, a Dependency Track-et \u00e9s a Sonatype Nexus IQ v\u00e1llalati megold\u00e1st \u00e9rintj\u00fck. Megvizsg\u00e1ljuk, hogyan m\u0171k\u00f6dnek ezek a megold\u00e1sok, \u00e9s \u00f6sszehasonl\u00edtjuk az eredm\u00e9nyeket a hamis riaszt\u00e1sok tekintet\u00e9ben.<\/p>\n<p><img decoding=\"async\" alt=\"DevSecOps: m\u0171k\u00f6d\u00e9si elvek \u00e9s SCA \u00f6sszehasonl\u00edt\u00e1s. Els\u0151 r\u00e9sz\" src=\"\/wp-content\/uploads\/2020\/08\/0580758082abd9950aa9c483d546f1ca.png\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<\/p>\n<h3>A m\u0171k\u00f6d\u00e9s elve<\/h3>\n<p>\n<noindex><a rel=\"nofollow\" href=\"https:\/\/jeremylong.github.io\/DependencyCheck\/\">Dependency Check<\/a><\/noindex> \u2014 ez egy CLI eszk\u00f6z (maven, jenkins modul, ant), amely elemezi a projekt f\u00e1jljait, \u00f6sszegy\u0171jti a f\u00fcgg\u0151s\u00e9gekkel kapcsolatos inform\u00e1ci\u00f3kat (csomagn\u00e9v, groupid, specifik\u00e1ci\u00f3s c\u00edm, verzi\u00f3\u2026), fel\u00e9p\u00edti a CPE (Common Platform Enumeration), Package URL (PURL) karakterl\u00e1ncot, \u00e9s az NVD, Sonatype OSS Index, NPM Audit API\u2026 adatb\u00e1zisokb\u00f3l sebezhet\u0151s\u00e9geket azonos\u00edt a CPE\/PURL sz\u00e1m\u00e1ra, majd egyszeri jelent\u00e9st k\u00e9sz\u00edt HTML, JSON, XML form\u00e1tumban\u2026<\/p>\n<p>N\u00e9zz\u00fck meg, hogyan n\u00e9z ki a CPE:<\/p>\n<pre><code class=\"plaintext\">cpe:2.3:part:vendor:product:version:update:edition:language:sw_edition:target_sw:target_hw:other<\/code><\/pre>\n<p><\/p>\n<ul>\n<li><b>Part:<\/b> A jelz\u00e9s arra, hogy a komponens alkalmaz\u00e1shoz (a), oper\u00e1ci\u00f3s rendszerhez (o), vagy hardverhez (h) tartozik (K\u00f6telez\u0151 elem)<\/li>\n<li><b>Vendor:<\/b> A term\u00e9k gy\u00e1rt\u00f3j\u00e1nak neve (K\u00f6telez\u0151 elem)<\/li>\n<li><b>Product:<\/b> A term\u00e9k neve (K\u00f6telez\u0151 elem)<\/li>\n<li><b>Verzi\u00f3:<\/b> A komponens verzi\u00f3ja (Elavult elem)<\/li>\n<li><b>Friss\u00edt\u00e9s:<\/b> A csomag friss\u00edt\u00e9se<\/li>\n<li><b>Edition:<\/b> A c\u00edmzett verzi\u00f3 (Elavult elem)<\/li>\n<li><b>Language:<\/b> A RFC-5646-ban meghat\u00e1rozott nyelv<\/li>\n<li><b>SW Edition:<\/b> A szoftver verzi\u00f3ja<\/li>\n<li><b>Target SW:<\/b> A programk\u00f6rnyezet, amelyben a term\u00e9k m\u0171k\u00f6dik<\/li>\n<li><b>Target HW:<\/b> A hardverk\u00f6rnyezet, amelyben a term\u00e9k m\u0171k\u00f6dik<\/li>\n<li><b>Other:<\/b> Inform\u00e1ci\u00f3 a besz\u00e1ll\u00edt\u00f3r\u00f3l vagy a term\u00e9kr\u0151l<\/li>\n<\/ul>\n<p>\nEgy p\u00e9lda a CPE-re a k\u00f6vetkez\u0151k\u00e9ppen n\u00e9z ki:<\/p>\n<pre><code class=\"plaintext\">cpe:2.3:a:pivotal_software:spring_framework:3.0.0:*:*:*:*:*:*:*<\/code><\/pre>\n<p>\nA karakterl\u00e1nc azt jelenti, hogy a CPE 2.3 verzi\u00f3ja egy alkalmaz\u00e1skomponenst \u00edr le a gy\u00e1rt\u00f3t\u00f3l <code>pivotal_software <\/code>a n\u00e9vvel <code>spring_framework<\/code> 3.0.0 verzi\u00f3val. Ha megn\u00e9zz\u00fck a sebezhet\u0151s\u00e9get <noindex><a rel=\"nofollow\" href=\"https:\/\/nvd.nist.gov\/vuln\/detail\/CVE-2014-0225\">CVE-2014-0225<\/a><\/noindex> az NVD-ben, akkor l\u00e1thatjuk ezt a CPE-t. Az els\u0151 probl\u00e9ma, amire azonnal \u00e9rdemes figyelni \u2014 a CVE az NVD-ben azt jelzi, hogy a probl\u00e9ma a keretrendszerben van, nem konkr\u00e9tan egy komponensben. Teh\u00e1t ha a fejleszt\u0151k szorosan kapcsol\u00f3dnak a keretrendszerhez, \u00e9s az \u00e9szlelt sebezhet\u0151s\u00e9g nem \u00e9rinti azokat a modulokat, amelyeket a fejleszt\u0151k haszn\u00e1lnak, a biztons\u00e1gi szakembernek \u00fagyis foglalkoznia kell a CVE-vel \u00e9s gondolkodnia az aktualiz\u00e1l\u00e1son.<\/p>\n<p>Az URL-c\u00edmet szint\u00e9n haszn\u00e1lj\u00e1k az SCA eszk\u00f6z\u00f6k. A csomag URL-c\u00edm form\u00e1tuma a k\u00f6vetkez\u0151:<\/p>\n<pre><code class=\"plaintext\">scheme:type\/namespace\/name@version?qualifiers#subpath<\/code><\/pre>\n<p><\/p>\n<ul>\n<li><b>Scheme: <\/b>Mindig lesz 'pkg', amely arra utal, hogy ez egy csomag URL (K\u00f6telez\u0151 elem)<\/li>\n<li><b>Type:<\/b> A csomag \u2018t\u00edpus\u2019 vagy \u2018protokoll\u2019, p\u00e9ld\u00e1ul maven, npm, nuget, gem, pypi stb. (K\u00f6telez\u0151 elem)<\/li>\n<li><b>Namespace:<\/b> Valamilyen n\u00e9v el\u0151tag, mint p\u00e9ld\u00e1ul a Maven csoportazonos\u00edt\u00f3, Docker k\u00e9p tulajdonosa, GitHub felhaszn\u00e1l\u00f3 vagy szervezet. Opcion\u00e1lis \u00e9s a t\u00edpust\u00f3l f\u00fcgg.<\/li>\n<li><b>N\u00e9v:<\/b> Csomag neve (K\u00f6telez\u0151 elem)<\/li>\n<li><b>Verzi\u00f3:<\/b> Csomag verzi\u00f3ja<\/li>\n<li><b>Qualifiers:<\/b> Tov\u00e1bbi k\u00e9pes\u00edt\u00e9si adatok a csomagr\u00f3l, mint p\u00e9ld\u00e1ul az oper\u00e1ci\u00f3s rendszer, architekt\u00fara, disztrib\u00faci\u00f3 stb. Opcion\u00e1lis \u00e9s t\u00edpust\u00f3l f\u00fcgg\u0151 elem.<\/li>\n<li><b>Al\u00fatvonal:<\/b> Tov\u00e1bbi \u00fatvonal a csomagban a csomag gy\u00f6kere szerint<\/li>\n<\/ul>\n<p>\nP\u00e9ld\u00e1ul:<\/p>\n<pre><code class=\"plaintext\">pkg:golang\/google.golang.org\/genproto#googleapis\/api\/annotations\npkg:maven\/org.apache.commons\/io@1.3.4\npkg:pypi\/django-package@1.11.1.dev1<\/code><\/pre>\n<p>\n<noindex><a rel=\"nofollow\" href=\"https:\/\/dependencytrack.org\/\">Dependency Track<\/a><\/noindex> \u2014 helyben hosztolhat\u00f3 webplatform, amely elk\u00e9sz\u00fclt Anyagjegyz\u00e9keket (BOM) fogad el, amelyek l\u00e9trej\u00f6ttek <noindex><a rel=\"nofollow\" href=\"https:\/\/github.com\/CycloneDX\">CycloneDX<\/a><\/noindex> \u00e9s <noindex><a rel=\"nofollow\" href=\"https:\/\/spdx.org\/licenses\/\">SPDX<\/a><\/noindex>, teh\u00e1t a megl\u00e9v\u0151 f\u00fcgg\u0151s\u00e9gek specifik\u00e1ci\u00f3i. Ez egy XML-f\u00e1jl a f\u00fcgg\u0151s\u00e9gekr\u0151l \u2014 n\u00e9v, hashek, csomag url, kiad\u00f3, licenc. A Dependency Track ezut\u00e1n feldolgozza a BOM-ot, megvizsg\u00e1lja a megl\u00e9v\u0151 f\u00fcgg\u0151s\u00e9geket, \u00e9s CVE-t keres az id\u0151szakos biztons\u00e1gi adatb\u00e1zisokban (NVD, Sonatype OSS Index ...), majd diagramokat \u00e9p\u00edt, metrik\u00e1kat sz\u00e1m\u00edt, \u00e9s rendszeresen friss\u00edti az \u00f6sszetev\u0151k sebezhet\u0151s\u00e9gi st\u00e1tusz\u00e1r\u00f3l sz\u00f3l\u00f3 adatokat. <\/p>\n<p>P\u00e9lda arra, hogyan n\u00e9zhet ki a BOM XML-form\u00e1tumban:<\/p>\n<pre><code class=\"xml\">Apache\n      org.apache.tomcat\n      tomcat-catalina\n      9.0.14\n      \n        3942447fac867ae5cdb3229b658f4d48\n        e6b1000b94e835ffd37f4c6dcbdad43f4b48a02a\n        f498a8ff2dd007e29c2074f5e4b01a9a01775c3ff3aeaf6906ea503bc5791b7b\n        e8f33e424f3f4ed6db76a482fde1a5298970e442c531729119e37991884bdffab4f9426b7ee11fccd074eeda0634d71697d6f88a460dce0ac8d627a29f7d1282\n      \n      \n        \n          Apache-2.0\n        \n      \n      pkg:maven\/org.apache.tomcat\/tomcat-catalina@9.0.14\n    \n      <!-- More components here --><\/code><\/pre>\n<p>\nA BOM nemcsak bemeneti param\u00e9terek\u00e9nt haszn\u00e1lhat\u00f3 a Dependency Track sz\u00e1m\u00e1ra, hanem a szoftverkomponensek lelt\u00e1r\u00e1nak k\u00e9sz\u00edt\u00e9s\u00e9re is a besz\u00e1ll\u00edt\u00f3i l\u00e1ncban, p\u00e9ld\u00e1ul a szoftver \u00fcgyf\u00e9lnak val\u00f3 \u00e1tad\u00e1sa c\u00e9lj\u00e1b\u00f3l. 2014-ben az Egyes\u00fclt \u00c1llamokban m\u00e9g egy t\u00f6rv\u00e9nyjavaslatot is beny\u00fajtottak, <noindex><a rel=\"nofollow\" href=\"https:\/\/www.congress.gov\/bill\/113th-congress\/house-bill\/5793\">\u201eCyber Supply Chain Management and Transparency Act of 2014\u201d<\/a><\/noindex>, amely kimondta, hogy szoftver v\u00e1s\u00e1rl\u00e1sakor minden korm\u00e1nyzati szervnek k\u00e9rnie kell a BOM-ot, hogy megakad\u00e1lyozza a sebezhet\u0151 komponensek haszn\u00e1lat\u00e1t, de a t\u00f6rv\u00e9ny v\u00e9g\u00fcl soha nem l\u00e9pett hat\u00e1lyba.<\/p>\n<p>Visszat\u00e9rve az SCA-ra, a Dependency Track-nak k\u00e9sz integr\u00e1ci\u00f3i vannak olyan \u00e9rtes\u00edt\u00e9si platformokkal, mint a Slack, \u00e9s sebezhet\u0151s\u00e9gkezel\u0151 rendszerekkel, mint a Kenna Security. \u00c9rdemes megeml\u00edteni, hogy a Dependency Track k\u00e9pes az elavult csomagverzi\u00f3k azonos\u00edt\u00e1s\u00e1ra \u00e9s inform\u00e1ci\u00f3kat szolg\u00e1ltat a licencekr\u0151l (SPDX t\u00e1mogat\u00e1s r\u00e9v\u00e9n).<\/p>\n<p>Ha a SCA min\u0151s\u00e9g\u00e9r\u0151l van sz\u00f3, akkor itt alapvet\u0151 k\u00fcl\u00f6nbs\u00e9g van.<\/p>\n<p>A Dependency Track nem projektet fogad el bemenetk\u00e9nt, hanem konkr\u00e9tan a BOM-ot. Ez azt jelenti, hogy ha ellen\u0151rizni szeretn\u00e9nk egy projektet, akkor el\u0151sz\u00f6r gener\u00e1lnunk kell egy bom.xml-t, p\u00e9ld\u00e1ul a CycloneDX seg\u00edts\u00e9g\u00e9vel. \u00cdgy a Dependency Track k\u00f6zvetlen\u00fcl f\u00fcgg a CycloneDX-t\u0151l. Ugyanakkor ez lehet\u0151s\u00e9get ad a testreszab\u00e1sra. \u00cdgy az OZON csapata \u00edrta <noindex><a rel=\"nofollow\" href=\"https:\/\/github.com\/ozonru\/cyclonedx-go\">a CycloneDX modult<\/a><\/noindex> BOM-f\u00e1jlok k\u00e9sz\u00edt\u00e9s\u00e9hez Golang projektek sz\u00e1m\u00e1ra a Dependency Track-en kereszt\u00fcli tov\u00e1bbi ellen\u0151rz\u00e9s c\u00e9lj\u00e1b\u00f3l.<\/p>\n<p><noindex><a rel=\"nofollow\" href=\"https:\/\/sonatype.ru\/#nexusiq\">Nexus IQ<\/a><\/noindex> \u2014 a Sonatype c\u00e9g kereskedelmi SCA megold\u00e1sa, amely a Sonatype \u00f6kosziszt\u00e9m\u00e1j\u00e1nak r\u00e9sze, amelybe a Nexus Repository Manager is tartozik. A Nexus IQ bemeneti adatokk\u00e9nt fogadhat el .war arch\u00edvumokat (java projektekhez) a webes fel\u00fcleten vagy API-n kereszt\u00fcl, valamint BOM-ot, ha a szervezet nem volt k\u00e9pes \u00e1t\u00e1llni a CycloneDX-ra az \u00faj megold\u00e1sra. A ny\u00edlt forr\u00e1sk\u00f3d\u00fa megold\u00e1sokkal ellent\u00e9tben az IQ nemcsak a CP\/PURL \u00e1ltal azonos\u00edtott komponenshez \u00e9s a kapcsol\u00f3d\u00f3 sebezhet\u0151s\u00e9gekhez ny\u00fal, hanem figyelembe veszi a saj\u00e1t kutat\u00e1sait is, p\u00e9ld\u00e1ul a sebezhet\u0151 f\u00fcggv\u00e9ny vagy oszt\u00e1ly nev\u00e9t. Az IQ mechanizmusait k\u00e9s\u0151bb, az eredm\u00e9nyek elemz\u00e9sekor fogjuk megvitatni.<\/p>\n<p>\u00d6sszegy\u0171jtj\u00fck n\u00e9h\u00e1ny k\u00f6vetkeztet\u00e9st a funkci\u00f3k jellemz\u0151ir\u0151l, \u00e9s megvizsg\u00e1ljuk az elemz\u00e9shez t\u00e1mogatott nyelveket:<\/p>\n<p>Nyelv<br \/>\nNexus IQ<br \/>\nDependency Check<br \/>\nDependency Track<\/p>\n<p>Java<br \/>\n+<br \/>\n+<br \/>\n+<\/p>\n<p>C\/C++<br \/>\n+<br \/>\n+<br \/>\n\u2014<\/p>\n<p>C#<br \/>\n+<br \/>\n+<br \/>\n\u2014<\/p>\n<p>.Net<br \/>\n+<br \/>\n+<br \/>\n+<\/p>\n<p>Erlang<br \/>\n\u2014<br \/>\n\u2014<br \/>\n+<\/p>\n<p>JavaScript (NodeJS)<br \/>\n+<br \/>\n+<br \/>\n+<\/p>\n<p>PHP<br \/>\n+<br \/>\n+<br \/>\n+<\/p>\n<p>Python<br \/>\n+<br \/>\n+<br \/>\n+<\/p>\n<p>Ruby<br \/>\n+<br \/>\n+<br \/>\n+<\/p>\n<p>Perl<br \/>\n\u2014<br \/>\n\u2014<br \/>\n\u2014<\/p>\n<p>Scala<br \/>\n+<br \/>\n+<br \/>\n+<\/p>\n<p>Objective C<br \/>\n+<br \/>\n+<br \/>\n\u2014<\/p>\n<p>Swift<br \/>\n+<br \/>\n+<br \/>\n\u2014<\/p>\n<p>R<br \/>\n+<br \/>\n\u2014<br \/>\n\u2014<\/p>\n<p>Go<br \/>\n+<br \/>\n+<br \/>\n+<\/p>\n<p>\nFunctional Capabilities<\/p>\n<p>Functional Capabilities<br \/>\nNexus IQ<br \/>\nDependency Check<br \/>\nDependency Track<\/p>\n<p>Lehet\u0151s\u00e9g a forr\u00e1sk\u00f3dban haszn\u00e1lt komponensek licenc tisztas\u00e1g\u00e1nak ellen\u0151rz\u00e9s\u00e9re<br \/>\n+<br \/>\n\u2014<br \/>\n+<\/p>\n<p>Lehet\u0151s\u00e9g a Docker k\u00e9pek sebezhet\u0151s\u00e9gi \u00e9s licenc tisztas\u00e1gi vizsg\u00e1lat\u00e1ra \u00e9s elemz\u00e9s\u00e9re<br \/>\n+ Integr\u00e1ci\u00f3 a Clair-rel<br \/>\n\u2014<br \/>\n\u2014<\/p>\n<p>Lehet\u0151s\u00e9g a ny\u00edlt forr\u00e1sk\u00f3d\u00fa k\u00f6nyvt\u00e1rak haszn\u00e1lati biztons\u00e1gi politik\u00e1j\u00e1nak be\u00e1ll\u00edt\u00e1s\u00e1ra<br \/>\n+<br \/>\n\u2014<br \/>\n\u2014<\/p>\n<p>Lehet\u0151s\u00e9g ny\u00edlt forr\u00e1sk\u00f3d\u00fa t\u00e1rol\u00f3k sebezhet\u0151 komponenseinek ellen\u0151rz\u00e9s\u00e9re<br \/>\n+ RubyGems, Maven, NPM, Nuget, Pypi, Conan, Bower, Conda, Go, p2, R, Yum, Helm, Docker, CocoaPods, Git LFS<br \/>\n\u2014<br \/>\n+ Hex, RubyGems, Maven, NPM, Nuget, Pypi<\/p>\n<p>Specializ\u00e1lt kutat\u00f3csapat megl\u00e9te<br \/>\n+<br \/>\n\u2014<br \/>\n\u2014<\/p>\n<p>Z\u00e1rt k\u00f6rnyezetben val\u00f3 m\u0171k\u00f6d\u00e9s<br \/>\n+<br \/>\n+<br \/>\n+<\/p>\n<p>Harmadik f\u00e9l adatb\u00e1zisainak haszn\u00e1lata<br \/>\n+ Z\u00e1rt Sonatype adatb\u00e1zis<br \/>\n+ Sonatype OSS, NPM Publish Advisors<br \/>\n+ Sonatype OSS, NPM Public Advisors, RetireJS, VulnDB, saj\u00e1t sebezhet\u0151s\u00e9gi adatb\u00e1zis t\u00e1mogat\u00e1sa<\/p>\n<p>Lehet\u0151s\u00e9g a ny\u00edlt forr\u00e1sk\u00f3d\u00fa komponensek sz\u0171r\u00e9s\u00e9re a fejleszt\u00e9si k\u00f6rnyezetbe val\u00f3 bet\u00f6lt\u00e9skor a konfigur\u00e1lt politik\u00e1k szerint<br \/>\n+<br \/>\n\u2014<br \/>\n\u2014<\/p>\n<p>Aj\u00e1nl\u00e1sok a sebezhet\u0151s\u00e9gek jav\u00edt\u00e1s\u00e1hoz, jav\u00edt\u00e1si hivatkoz\u00e1sok megl\u00e9te<br \/>\n+<br \/>\n+- (a nyilv\u00e1nos adatb\u00e1zisok le\u00edr\u00e1s\u00e1t\u00f3l f\u00fcgg\u0151en)<br \/>\n+- (a nyilv\u00e1nos adatb\u00e1zisok le\u00edr\u00e1s\u00e1t\u00f3l f\u00fcgg\u0151en)<\/p>\n<p>Az \u00e9szlelt sebezhet\u0151s\u00e9gek rangsorol\u00e1sa kritikus m\u00e9rt\u00e9k szerint<br \/>\n+<br \/>\n+<br \/>\n+<\/p>\n<p>Hozz\u00e1f\u00e9r\u00e9si szerepmint\u00e1zat<br \/>\n+<br \/>\n\u2014<br \/>\n+<\/p>\n<p>CLI (parancssori fel\u00fclet) t\u00e1mogat\u00e1s<br \/>\n+<br \/>\n+<br \/>\n+- (csak CycloneDX eset\u00e9ben)<\/p>\n<p>Sebezhet\u0151s\u00e9gek mintav\u00e9telez\u00e9se \/ rendez\u00e9se meghat\u00e1rozott krit\u00e9riumok szerint<br \/>\n+<br \/>\n\u2014<br \/>\n+<\/p>\n<p>Az alkalmaz\u00e1sok \u00e1llapot\u00e1nak ir\u00e1ny\u00edt\u00f3pultja<br \/>\n+<br \/>\n\u2014<br \/>\n+<\/p>\n<p>Jelent\u00e9sek gener\u00e1l\u00e1sa PDF form\u00e1tumban<br \/>\n+<br \/>\n\u2014<br \/>\n\u2014<\/p>\n<p>Jelent\u00e9sek gener\u00e1l\u00e1sa JSONCSV form\u00e1tumban<br \/>\n+<br \/>\n+<br \/>\n\u2014<\/p>\n<p>Orosz nyelv t\u00e1mogat\u00e1sa<br \/>\n\u2014<br \/>\n\u2014<br \/>\n\u2014<\/p>\n<p>\nIntegr\u00e1ci\u00f3s lehet\u0151s\u00e9gek<\/p>\n<p>Integr\u00e1ci\u00f3<br \/>\nNexus IQ<br \/>\nDependency Check<br \/>\nDependency Track<\/p>\n<p>Integr\u00e1ci\u00f3 LDAP\/Active Directory rendszerrel<br \/>\n+<br \/>\n\u2014<br \/>\n+<\/p>\n<p>Integr\u00e1ci\u00f3 a Bamboo folyamatos integr\u00e1ci\u00f3s rendszer\u00e9vel<br \/>\n+<br \/>\n\u2014<br \/>\n\u2014<\/p>\n<p>Integr\u00e1ci\u00f3 a TeamCity folyamatos integr\u00e1ci\u00f3s rendszer\u00e9vel<br \/>\n+<br \/>\n\u2014<br \/>\n\u2014<\/p>\n<p>Integr\u00e1ci\u00f3 a GitLab folyamatos integr\u00e1ci\u00f3s rendszer\u00e9vel<br \/>\n+<br \/>\n+- (GitLab plugin form\u00e1j\u00e1ban)<br \/>\n+<\/p>\n<p>Integr\u00e1ci\u00f3 a Jenkins folyamatos integr\u00e1ci\u00f3s rendszer\u00e9vel<br \/>\n+<br \/>\n+<br \/>\n+<\/p>\n<p>IDE-khez k\u00e9sz\u00fclt pluginok el\u00e9rhet\u0151s\u00e9ge<br \/>\n+ IntelliJ, Eclipse, Visual Studio<br \/>\n\u2014<br \/>\n\u2014<\/p>\n<p>Testreszabott integr\u00e1ci\u00f3 t\u00e1mogat\u00e1sa webszolg\u00e1ltat\u00e1sokon (API) kereszt\u00fcl<br \/>\n+<br \/>\n\u2014<br \/>\n+<\/p>\n<h3>Dependency Check<\/h3>\n<p><\/p>\n<h4>Els\u0151 ind\u00edt\u00e1s<\/h4>\n<p>\nFuttassuk a Dependency Check-et egy sz\u00e1nd\u00e9kosan sebezhet\u0151 alkalmaz\u00e1son <noindex><a rel=\"nofollow\" href=\"https:\/\/github.com\/appsecco\/dvja\">DVJA<\/a><\/noindex>.<\/p>\n<p>Ehhez haszn\u00e1ljuk <noindex><a rel=\"nofollow\" href=\"https:\/\/github.com\/jeremylong\/DependencyCheck\">Dependency Check Maven Plugin<\/a><\/noindex>:<\/p>\n<pre><code class=\"plaintext\">mvn org.owasp:dependency-check-maven:check<\/code><\/pre>\n<p>\nEnnek eredm\u00e9nyek\u00e9nt a target k\u00f6nyvt\u00e1rban megjelenik a dependency-check-report.html.<\/p>\n<p><img decoding=\"async\" alt=\"DevSecOps: m\u0171k\u00f6d\u00e9si elvek \u00e9s SCA \u00f6sszehasonl\u00edt\u00e1s. Els\u0151 r\u00e9sz\" src=\"\/wp-content\/uploads\/2020\/08\/d5b9fe5a8eb68569387dd0bfd38af459.png\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nNyissuk meg a f\u00e1jlt. A sebezhet\u0151s\u00e9gek \u00f6sszes\u00edtett sz\u00e1m\u00e1r\u00f3l sz\u00f3l\u00f3 inform\u00e1ci\u00f3 ut\u00e1n l\u00e1thatjuk a magas szint\u0171 v\u00e9szhelyzet \u00e9s bizalom sebezhet\u0151s\u00e9geit, ezeknek a csomag, CPE, CVE sz\u00e1m\u00e1t is tartalmazz\u00e1k.<\/p>\n<p>Ezt k\u00f6veti a r\u00e9szletesebb inform\u00e1ci\u00f3, k\u00fcl\u00f6n\u00f6sen arr\u00f3l, hogy mib\u0151l sz\u00e1rmazik a d\u00f6nt\u00e9s (evidence), azaz egy BOM.<\/p>\n<p><img decoding=\"async\" alt=\"DevSecOps: m\u0171k\u00f6d\u00e9si elvek \u00e9s SCA \u00f6sszehasonl\u00edt\u00e1s. Els\u0151 r\u00e9sz\" src=\"\/wp-content\/uploads\/2020\/08\/53dd89b0ff20c4c51aaf7412399e7fd9.png\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nEzut\u00e1n a CPE, PURL \u00e9s a CVE le\u00edr\u00e1sa k\u00f6vetkezik. A jav\u00edt\u00e1si aj\u00e1nl\u00e1sok nem \u00e1llnak rendelkez\u00e9sre, mivel a NVD adatb\u00e1zisb\u00f3l hi\u00e1nyoznak.<\/p>\n<p><img decoding=\"async\" alt=\"DevSecOps: m\u0171k\u00f6d\u00e9si elvek \u00e9s SCA \u00f6sszehasonl\u00edt\u00e1s. Els\u0151 r\u00e9sz\" src=\"\/wp-content\/uploads\/2020\/08\/ba2021aa8b6bf175383298b2c2a71670.png\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nA vizsg\u00e1lati eredm\u00e9nyek rendszerezetlen megtekint\u00e9s\u00e9hez konfigur\u00e1lhat egy egyszer\u0171 Nginx be\u00e1ll\u00edt\u00e1st, vagy k\u00fcldheti a kapott hib\u00e1kat a hibakezel\u0151 rendszerbe, amely t\u00e1mogatja a Dependency Check csatlakoz\u00f3it. P\u00e9ld\u00e1ul a Defect Dojo. <\/p>\n<h3>Dependency Track<\/h3>\n<p><\/p>\n<h4>Telep\u00edt\u00e9s<\/h4>\n<p>\nA Dependency Track egy webes platform, amely grafikus megjelen\u00edt\u00e9st biztos\u00edt, \u00edgy itt nem mer\u00fcl fel az \u00e9les k\u00e9rd\u00e9s a hib\u00e1k k\u00fcls\u0151 megold\u00e1sban t\u00f6rt\u00e9n\u0151 t\u00e1rol\u00e1s\u00e1r\u00f3l. <br \/>\nA telep\u00edt\u00e9shez az al\u00e1bbi t\u00e1mogatott forgat\u00f3k\u00f6nyvek \u00e1llnak rendelkez\u00e9sre: Docker, WAR, Futtathat\u00f3 WAR. <\/p>\n<h4>Els\u0151 ind\u00edt\u00e1s<\/h4>\n<p>\nL\u00e9pjen be az elind\u00edtott szolg\u00e1ltat\u00e1s URL-j\u00e9re. Bel\u00e9p\u00e9s admin\/admin-nal, jelsz\u00f3 megv\u00e1ltoztat\u00e1sa ut\u00e1n bel\u00e9phet az Ir\u00e1ny\u00edt\u00f3pultra. A k\u00f6vetkez\u0151 l\u00e9p\u00e9s, hogy projektet hozzunk l\u00e9tre egy tesztalkalmaz\u00e1s sz\u00e1m\u00e1ra Java-ban a<i> Home\/Projects \u2192 Projekt l\u00e9trehoz\u00e1sa <\/i>. P\u00e9ld\u00e1nak vegy\u00fck a DVJA-t.<\/p>\n<p><img decoding=\"async\" alt=\"DevSecOps: m\u0171k\u00f6d\u00e9si elvek \u00e9s SCA \u00f6sszehasonl\u00edt\u00e1s. Els\u0151 r\u00e9sz\" src=\"\/wp-content\/uploads\/2020\/08\/338aaa1c9ca0ac99f2e857f8ce001a02.png\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nMivel a Dependency Track csak BOM-okat tud fogadni bemenetk\u00e9nt, ez\u00e9rt ezt a BOM-ot meg kell szerezn\u00fcnk. Haszn\u00e1ljuk <noindex><a rel=\"nofollow\" href=\"https:\/\/github.coam\/CycloneDX\/cyclonedx-maven-plugin\">CycloneDX Maven Plugin<\/a><\/noindex>:<\/p>\n<pre><code class=\"plaintext\">mvn org.cyclonedx:cyclonedx-maven-plugin:makeAggregateBom<\/code><\/pre>\n<p>\nMegkapjuk a bom.xml-t, \u00e9s felt\u00f6ltj\u00fck a f\u00e1jlt a l\u00e9trehozott projektbe <i>DVJA \u2192 F\u00fcgg\u0151s\u00e9gek \u2192 BOM felt\u00f6lt\u00e9se<\/i>.<\/p>\n<p>L\u00e9pj\u00fcnk be az Adminisztr\u00e1ci\u00f3 \u2192 Elemz\u0151k men\u00fcbe. Meg\u00e9rtj\u00fck, hogy csak a Bels\u0151 Elemz\u0151 van enged\u00e9lyezve, amely tartalmazza az NVD-t. Csatlakoztassuk a Sonatype OSS Indexet is.<\/p>\n<p><img decoding=\"async\" alt=\"DevSecOps: m\u0171k\u00f6d\u00e9si elvek \u00e9s SCA \u00f6sszehasonl\u00edt\u00e1s. Els\u0151 r\u00e9sz\" src=\"\/wp-content\/uploads\/2020\/08\/3879a9a3d5f227d9740a984e7b1b91b2.png\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\n\u00cdgy a k\u00f6vetkez\u0151 k\u00e9pet kapjuk a projekt\u00fcnkh\u00f6z:<\/p>\n<p><img decoding=\"async\" alt=\"DevSecOps: m\u0171k\u00f6d\u00e9si elvek \u00e9s SCA \u00f6sszehasonl\u00edt\u00e1s. Els\u0151 r\u00e9sz\" src=\"\/wp-content\/uploads\/2020\/08\/004f2ab3383acb87e3d5e8c0fba1f3c3.png\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nA list\u00e1ban egy olyan sebezhet\u0151s\u00e9g is tal\u00e1lhat\u00f3, ami a Sonatype OSS-re alkalmazhat\u00f3:<\/p>\n<p><img decoding=\"async\" alt=\"DevSecOps: m\u0171k\u00f6d\u00e9si elvek \u00e9s SCA \u00f6sszehasonl\u00edt\u00e1s. Els\u0151 r\u00e9sz\" src=\"\/wp-content\/uploads\/2020\/08\/e459f08218f890b46fb4050c30da63c8.png\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nA legnagyobb csal\u00f3d\u00e1s az volt, hogy a Dependency Track m\u00e1r nem fogadja el a Dependency Check xml-jelent\u00e9seit. Az utols\u00f3 t\u00e1mogatott verzi\u00f3k a Dependency Check-kel val\u00f3 integr\u00e1ci\u00f3ban 1.0.0 \u2013 4.0.2 voltak, mik\u00f6zben \u00e9n a 5.3.2-t teszteltem.<\/p>\n<p>\u00cdme <noindex><a rel=\"nofollow\" href=\"https:\/\/youtu.be\/d2WMONyBbTw\">vide\u00f3n<\/a><\/noindex> (\u00e9s <noindex><a rel=\"nofollow\" href=\"https:\/\/youtu.be\/IPWPISSk5rc\">itt van<\/a><\/noindex>), amikor ez m\u00e9g lehets\u00e9ges volt. <\/p>\n<h3>Nexus IQ <\/h3>\n<p><\/p>\n<h4>Els\u0151 ind\u00edt\u00e1s<\/h4>\n<p>\nA Nexus IQ telep\u00edt\u00e9se arch\u00edvumokb\u00f3l t\u00f6rt\u00e9nik <noindex><a rel=\"nofollow\" href=\"https:\/\/help.sonatype.com\/iqserver\/installing\/iq-server-installation\">dokument\u00e1ci\u00f3<\/a><\/noindex>, de mi ezekhez a c\u00e9lokhoz saj\u00e1t Docker k\u00e9pet k\u00e9sz\u00edtett\u00fcnk.<\/p>\n<p>A konzolba l\u00e9p\u00e9s ut\u00e1n l\u00e9tre kell hozni egy Szervezetet \u00e9s Alkalmaz\u00e1st.<\/p>\n<p><img decoding=\"async\" alt=\"DevSecOps: m\u0171k\u00f6d\u00e9si elvek \u00e9s SCA \u00f6sszehasonl\u00edt\u00e1s. Els\u0151 r\u00e9sz\" src=\"\/wp-content\/uploads\/2020\/08\/4c6df91bad77e87ea066ff3514a03644.png\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\n<img decoding=\"async\" alt=\"DevSecOps: m\u0171k\u00f6d\u00e9si elvek \u00e9s SCA \u00f6sszehasonl\u00edt\u00e1s. Els\u0151 r\u00e9sz\" src=\"\/wp-content\/uploads\/2020\/08\/d8580ba46852e4d97625a22e215c21d3.png\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\n<img decoding=\"async\" alt=\"DevSecOps: m\u0171k\u00f6d\u00e9si elvek \u00e9s SCA \u00f6sszehasonl\u00edt\u00e1s. Els\u0151 r\u00e9sz\" src=\"\/wp-content\/uploads\/2020\/08\/d99ce4e47218001fd1a76722e2633bea.png\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nAhogyan l\u00e1that\u00f3, az IQ be\u00e1ll\u00edt\u00e1sa egy kicsit bonyolultabb, mivel politik\u00e1kat is kell l\u00e9trehoznunk, amelyek alkalmazhat\u00f3ak a k\u00fcl\u00f6nb\u00f6z\u0151 \u201cst\u00e1diumokban\u201d (fejleszt\u00e9s, l\u00e9trehoz\u00e1s, el\u0151k\u00e9sz\u00edt\u00e9s, kiad\u00e1s). Erre van sz\u00fcks\u00e9g, hogy blokkoljuk a sebezhet\u0151 komponenseket, ahogy k\u00f6zelebb jutunk a termel\u00e9shez, vagy hogy blokkoljuk, amint a fejleszt\u0151k let\u00f6ltik \u0151ket a Nexus Repo-ba.<\/p>\n<p>A k\u00fcl\u00f6nbs\u00e9g \u00e9rz\u00e9kel\u00e9s\u00e9hez ny\u00edlt forr\u00e1s\u00fa \u00e9s v\u00e1llalati megold\u00e1sok k\u00f6z\u00f6tt v\u00e9gezz\u00fcnk el egy ugyanilyen vizsg\u00e1latot a Nexus IQ-n kereszt\u00fcl, hasonl\u00f3an <noindex><a rel=\"nofollow\" href=\"https:\/\/help.sonatype.com\/integrations\/sonatype-clm-for-maven\">Maven plugin<\/a><\/noindex>, el\u0151zetesen l\u00e9trehozva egy tesztalkalmaz\u00e1st a NexusIQ fel\u00fclet\u00e9n <code>dvja-teszt-\u00e9s-\u00f6sszehasonl\u00edt<\/code>:<\/p>\n<pre><code class=\"plaintext\">mvn com.sonatype.clm:clm-maven-plugin:evaluate -Dclm.applicationId=dvja-teszt-\u00e9s-\u00f6sszehasonl\u00edt -Dclm.serverUrl= -Dclm.username= -Dclm.password=\n<\/code><\/pre>\n<p>\nL\u00e9pj\u00fcnk a gener\u00e1lt jelent\u00e9s URL-j\u00e9re az IQ webes fel\u00fclet\u00e9n:<\/p>\n<p><img decoding=\"async\" alt=\"DevSecOps: m\u0171k\u00f6d\u00e9si elvek \u00e9s SCA \u00f6sszehasonl\u00edt\u00e1s. Els\u0151 r\u00e9sz\" src=\"\/wp-content\/uploads\/2020\/08\/f81f998037ba53ef62298955077d044d.png\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nItt l\u00e1that\u00f3 az \u00f6sszes politikai megs\u00e9rt\u00e9s, k\u00fcl\u00f6nb\u00f6z\u0151 jelent\u0151s\u00e9gi szintek megad\u00e1s\u00e1val (Info-t\u00f3l a Biztons\u00e1gi Kritikusig). A komponens melletti D bet\u0171 azt jelenti, hogy a komponens K\u00f6zvetlen F\u00fcgg\u0151s\u00e9g, m\u00edg a T bet\u0171 a komponens mellett azt jelenti, hogy a komponens \u00c1tmeneti F\u00fcgg\u0151s\u00e9g.<\/p>\n<p>Egy\u00e9bk\u00e9nt a jelent\u00e9s <noindex><a rel=\"nofollow\" href=\"https:\/\/snyk.io\/open-source-security\/\">State of Open Source Security Report 2020<\/a><\/noindex> a Snyk-t\u00f3l arr\u00f3l sz\u00e1mol be, hogy a ny\u00edlt forr\u00e1s\u00fa szoftverekben felfedezett sebezhet\u0151s\u00e9gek t\u00f6bb mint 70%-a, amelyeket Node.js, Java \u00e9s Ruby eset\u00e9ben tal\u00e1ltak, \u00e1tmeneti f\u00fcgg\u0151s\u00e9gekben tal\u00e1lhat\u00f3.<\/p>\n<p>Ha megnyitunk egy Nexus IQ politikai megs\u00e9rt\u00e9st, l\u00e1thatjuk az \u00f6sszetev\u0151 le\u00edr\u00e1s\u00e1t, valamint a Version Graph-ot, amely megmutatja, hogy a jelenlegi verzi\u00f3 hol helyezkedik el az id\u0151beli grafikonon, \u00e9s mikor v\u00e1lik az adott sebezhet\u0151s\u00e9g m\u00e1r nem sebezhet\u0151v\u00e9. A grafikonon l\u00e9v\u0151 gyerty\u00e1k magass\u00e1ga azt jelzi, hogy mennyire n\u00e9pszer\u0171en haszn\u00e1lj\u00e1k ezt az \u00f6sszetev\u0151t.<\/p>\n<p><img decoding=\"async\" alt=\"DevSecOps: m\u0171k\u00f6d\u00e9si elvek \u00e9s SCA \u00f6sszehasonl\u00edt\u00e1s. Els\u0151 r\u00e9sz\" src=\"\/wp-content\/uploads\/2020\/08\/d33968a5ce5904da6f50133f882521fe.png\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nHa a sebezhet\u0151s\u00e9gek szakasz\u00e1ba l\u00e9p\u00fcnk \u00e9s kinyitjuk a CVE-t, elolvashatjuk a sebezhet\u0151s\u00e9g le\u00edr\u00e1s\u00e1t, a javasolt megold\u00e1sokat, valamint az okot, ami\u00e9rt az adott \u00f6sszetev\u0151 megs\u00e9rtette a politik\u00e1t, azaz a klassz felt\u00fcntet\u00e9s\u00e9t. <code>DiskFileitem.class<\/code>.<\/p>\n<p><img decoding=\"async\" alt=\"DevSecOps: m\u0171k\u00f6d\u00e9si elvek \u00e9s SCA \u00f6sszehasonl\u00edt\u00e1s. Els\u0151 r\u00e9sz\" src=\"\/wp-content\/uploads\/2020\/08\/6d91b98a9a9a1a62264f1b4194f33ca4.png\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\n<img decoding=\"async\" alt=\"DevSecOps: m\u0171k\u00f6d\u00e9si elvek \u00e9s SCA \u00f6sszehasonl\u00edt\u00e1s. Els\u0151 r\u00e9sz\" src=\"\/wp-content\/uploads\/2020\/08\/c9e580ad178a9c0307ed1e63d6dd244d.png\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nVegy\u00fck sz\u00e1m\u00edt\u00e1sba kiz\u00e1r\u00f3lag a harmadik f\u00e9lt\u0151l sz\u00e1rmaz\u00f3 Java \u00f6sszetev\u0151ket, elt\u00e1vol\u00edtva a js \u00f6sszetev\u0151ket. Z\u00e1r\u00f3jelben felt\u00fcntetj\u00fck, hogy h\u00e1ny sebezhet\u0151s\u00e9get tal\u00e1ltunk az NVD-n k\u00edv\u00fcl.<\/p>\n<p><b>\u00d6sszesen Nexus IQ: <\/b><\/p>\n<ul>\n<li>Az ellen\u0151rz\u00f6tt f\u00fcgg\u0151s\u00e9gek sz\u00e1ma: 62<\/li>\n<li>Sebezhet\u0151 f\u00fcgg\u0151s\u00e9gek sz\u00e1ma: 16<\/li>\n<li>Tal\u00e1lt sebezhet\u0151s\u00e9gek: 42 (8 sonatype db)<\/li>\n<\/ul>\n<p>\n<b>\u00d6sszesen Dependency Check: <\/b><\/p>\n<ul>\n<li>Az ellen\u0151rz\u00f6tt f\u00fcgg\u0151s\u00e9gek sz\u00e1ma: 47<\/li>\n<li>Sebezhet\u0151 f\u00fcgg\u0151s\u00e9gek sz\u00e1ma: 13<\/li>\n<li>Tal\u00e1lt sebezhet\u0151s\u00e9gek: 91 (14 sonatype oss)<\/li>\n<\/ul>\n<p>\n<b>\u00d6sszesen Dependency Track: <\/b><\/p>\n<ul>\n<li>Az ellen\u0151rz\u00f6tt f\u00fcgg\u0151s\u00e9gek sz\u00e1ma: 59<\/li>\n<li>Sebezhet\u0151 f\u00fcgg\u0151s\u00e9gek sz\u00e1ma: 10<\/li>\n<li>Tal\u00e1lt sebezhet\u0151s\u00e9gek: 51 (1 sonatype oss)<\/li>\n<\/ul>\n<p>\nA k\u00f6vetkez\u0151 l\u00e9p\u00e9s az eredm\u00e9nyek elemz\u00e9se, \u00e9s annak meg\u00e9rt\u00e9se, hogy az ezekb\u0151l a sebezhet\u0151s\u00e9gekb\u0151l melyik val\u00f3di hiba \u00e9s melyik t\u00e9ves riaszt\u00e1s.<\/p>\n<h3>Megjegyz\u00e9s<\/h3>\n<p>\nEz a fel\u00fclvizsg\u00e1lat nem k\u00e9ts\u00e9gbe vonhatatlan igazs\u00e1g. Az \u00edr\u00f3 c\u00e9lja nem volt kiemelni egy adott eszk\u00f6zt a t\u00f6bbiek k\u00f6z\u00fcl. A fel\u00fclvizsg\u00e1lat l\u00e9nyege az SCA eszk\u00f6z\u00f6k m\u0171k\u00f6d\u00e9si mechanizmus\u00e1nak bemutat\u00e1sa \u00e9s a eredm\u00e9nyek ellen\u0151rz\u00e9s\u00e9nek m\u00f3djai voltak.<\/p>\n<h3>Az eredm\u00e9nyek \u00f6sszehasonl\u00edt\u00e1sa<\/h3>\n<p>\n<b>Felt\u00e9telek:<\/b><\/p>\n<p><b>A harmadik f\u00e9lt\u0151l sz\u00e1rmaz\u00f3 \u00f6sszetev\u0151k sebezhet\u0151s\u00e9geivel kapcsolatos t\u00e9ves riaszt\u00e1s az al\u00e1bbi:<\/b><\/p>\n<ul>\n<li><b>A CVE nem felel meg a meg\u00e1llap\u00edtott \u00f6sszetev\u0151nek<\/b><\/li>\n<li>P\u00e9ld\u00e1ul, ha egy sebezhet\u0151s\u00e9get a struts2 keretrendszerben \u00e9szleltek, de az eszk\u00f6z a struts-tiles keretrendszerre mutat, amelyre ez a sebezhet\u0151s\u00e9g nem vonatkozik, akkor ez t\u00e9ves riaszt\u00e1s.<\/li>\n<li><b>A CVE nem felel meg a meg\u00e1llap\u00edtott \u00f6sszetev\u0151 verzi\u00f3j\u00e1nak<\/b><\/li>\n<li>P\u00e9ld\u00e1ul, ha a sebezhet\u0151s\u00e9g a python &gt; 3.5 verzi\u00f3hoz van k\u00f6tve, \u00e9s az eszk\u00f6z a 2.7 verzi\u00f3t jel\u00f6li sebezhet\u0151nek \u2014 ez t\u00e9ves riaszt\u00e1s, mivel a sebezhet\u0151s\u00e9g val\u00f3j\u00e1ban csak a 3.x term\u00e9k\u00e1gra vonatkozik. <\/li>\n<li> <b>CVE duplik\u00e1l\u00e1s<\/b><\/li>\n<li>P\u00e9ld\u00e1ul, ha az SCA egy olyan CVE-t jel\u00f6lt, amely RCE-t tesz lehet\u0151v\u00e9, majd az SCA ugyanehhez az \u00f6sszetev\u0151h\u00f6z egy olyan CVE-t jel\u00f6l, amely a Cisco term\u00e9kekre vonatkozik, melyek sebezhet\u0151ek ezen RCE-vel szemben. Ilyen esetben t\u00e9ves riaszt\u00e1s lesz.<\/li>\n<li>P\u00e9ld\u00e1ul a CVE-t a spring-web komponensben tal\u00e1lt\u00e1k, majd az SCA ugyanarra a CVE-re hivatkozik a Spring Framework m\u00e1s komponensein\u00e9l, mik\u00f6zben a CVE-nek nincs kapcsolata m\u00e1s komponensekkel. Ilyen esetben hamis pozit\u00edv jelz\u00e9sr\u0151l van sz\u00f3. <\/li>\n<\/ul>\n<p>\nA kutat\u00e1s t\u00e1rgya az Open Source DVJA projekt lett. A tanulm\u00e1nyban kiz\u00e1r\u00f3lag Java komponensek vettek r\u00e9szt (JS n\u00e9lk\u00fcl).<\/p>\n<h3>\u00d6sszegz\u0151 eredm\u00e9nyek<\/h3>\n<p>\nAzonnal \u00e1tt\u00e9r\u00fcnk a manu\u00e1lis fel\u00fclvizsg\u00e1lat sor\u00e1n felt\u00e1rt sebezhet\u0151s\u00e9gek eredm\u00e9nyeire. A r\u00e9szletes jelent\u00e9st minden CVE-r\u0151l az Mell\u00e9kletben tal\u00e1lhatj\u00e1k. <\/p>\n<p><i>\u00d6sszegz\u0151 eredm\u00e9nyek minden sebezhet\u0151s\u00e9gr\u0151l:<\/i><\/p>\n<p>A parameter<br \/>\nNexus IQ<br \/>\nDependency Check<br \/>\nDependency Track<\/p>\n<p>\u00d6sszesen felt\u00e1rt sebezhet\u0151s\u00e9gek<br \/>\n42<br \/>\n91<br \/>\n51<\/p>\n<p>Hib\u00e1san azonos\u00edtott sebezhet\u0151s\u00e9gek (hamis pozit\u00edv)<br \/>\n2(4.76%)<br \/>\n62(68,13%)<br \/>\n29(56.86%)<\/p>\n<p>Nem tal\u00e1ltunk relev\u00e1ns sebezhet\u0151s\u00e9geket (hamis negat\u00edv)<br \/>\n10<br \/>\n20<br \/>\n27<\/p>\n<p>\n<i>\u00d6sszegz\u0151 eredm\u00e9nyek a komponensek szerint:<\/i><\/p>\n<p>A parameter<br \/>\nNexus IQ<br \/>\nDependency Check<br \/>\nDependency Track<\/p>\n<p>\u00d6sszesen felt\u00e1rt komponensek<br \/>\n62<br \/>\n47<br \/>\n59<\/p>\n<p>\u00d6sszesen sebezhet\u0151 komponensek<br \/>\n16<br \/>\n13<br \/>\n10<\/p>\n<p>Hib\u00e1san azonos\u00edtott sebezhet\u0151 komponensek (hamis pozit\u00edv)<br \/>\n1<br \/>\n5<br \/>\n0<\/p>\n<p>Hib\u00e1san azonos\u00edtott sebezhet\u0151 komponensek (hamis pozit\u00edv)<br \/>\n0<br \/>\n6<br \/>\n6<\/p>\n<p>\nGrafikus \u00e1br\u00e1kat k\u00e9sz\u00edt\u00fcnk, hogy felm\u00e9rj\u00fck a hamis pozit\u00edv \u00e9s hamis negat\u00edv jelz\u00e9sek ar\u00e1ny\u00e1t a teljes sebezhet\u0151s\u00e9gi sz\u00e1mhoz viszony\u00edtva. A v\u00edzszintes tengelyen a komponensek, a f\u00fcgg\u0151leges tengelyen pedig az azokban felt\u00e1rt sebezhet\u0151s\u00e9gek tal\u00e1lhat\u00f3k. <\/p>\n<p><img decoding=\"async\" alt=\"DevSecOps: m\u0171k\u00f6d\u00e9si elvek \u00e9s SCA \u00f6sszehasonl\u00edt\u00e1s. Els\u0151 r\u00e9sz\" src=\"\/wp-content\/uploads\/2020\/08\/967b8e168383299d4a1bf4065f1905ca.png\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\n<img decoding=\"async\" alt=\"DevSecOps: m\u0171k\u00f6d\u00e9si elvek \u00e9s SCA \u00f6sszehasonl\u00edt\u00e1s. Els\u0151 r\u00e9sz\" src=\"\/wp-content\/uploads\/2020\/08\/2e128ee59e551894c25e4c9e28997008.png\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\n<img decoding=\"async\" alt=\"DevSecOps: m\u0171k\u00f6d\u00e9si elvek \u00e9s SCA \u00f6sszehasonl\u00edt\u00e1s. Els\u0151 r\u00e9sz\" src=\"\/wp-content\/uploads\/2020\/08\/585d7bcef052ef24e4de6c7e1a4e7c0b.png\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\n\u00d6sszehasonl\u00edt\u00e1sk\u00e9nt, hasonl\u00f3 kutat\u00e1st v\u00e9gzett a Sonatype csapata egy 1531 komponenst tartalmaz\u00f3 projekt tesztel\u00e9s\u00e9vel az OWASP Dependency Check seg\u00edts\u00e9g\u00e9vel. Ahogy l\u00e1thatjuk, a zaj \u00e9s a helyes p\u00e1lc\u00e1k ar\u00e1nya hasonl\u00f3 a mi eredm\u00e9nyeinkhez.<\/p>\n<p><img decoding=\"async\" alt=\"DevSecOps: m\u0171k\u00f6d\u00e9si elvek \u00e9s SCA \u00f6sszehasonl\u00edt\u00e1s. Els\u0151 r\u00e9sz\" src=\"\/wp-content\/uploads\/2020\/08\/286c34b84f1400af0285b711b3fe87f2.png\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<i>Forr\u00e1s: <noindex><a rel=\"nofollow\" href=\"https:\/\/www.sonatype.com\/why-precision-matters-ebook\">www.sonatype.com\/why-precision-matters-ebook<\/a><\/noindex><\/i><\/p>\n<p>N\u00e9zz\u00fck meg n\u00e9h\u00e1ny CVE-t a szkennel\u00e9si eredm\u00e9nyeinkb\u0151l, hogy meg\u00e9rts\u00fck ezeknek az eredm\u00e9nyeknek az ok\u00e1t.<\/p>\n<h3>Tov\u00e1bbi inform\u00e1ci\u00f3<\/h3>\n<p><\/p>\n<h4>1. sz\u00e1m\u00fa<\/h4>\n<p>\nKevesebb \u00e9rdekes pontot elemz\u00fcnk a Sonatype Nexus IQ-b\u00f3l.<\/p>\n<p>A Nexus IQ a deszerializ\u00e1ci\u00f3val kapcsolatos probl\u00e9m\u00e1ra h\u00edvja fel a figyelmet, amely lehet\u0151v\u00e9 teszi a RCE-t a Spring Frameworkben t\u00f6bbsz\u00f6r is. A CVE-2016-1000027 a spring-web:3.0.5-ben el\u0151sz\u00f6r, \u00e9s a CVE-2011-2894 a spring-context:3.0.5 \u00e9s spring-core:3.0.5-\u00f6n. Eleinte \u00fagy t\u0171nik, hogy a sebezhet\u0151s\u00e9gek t\u00f6bbsz\u00f6ri CVE alapj\u00e1n t\u00f6rt\u00e9n\u0151 duplik\u00e1l\u00e1sa t\u00f6rt\u00e9nik. Ugyanis, ha megvizsg\u00e1ljuk a CVE-2016-1000027-t \u00e9s a CVE-2011-2894-et az NVD adatb\u00e1zis\u00e1ban, \u00fagy t\u0171nik, hogy minden vil\u00e1gos.<\/p>\n<p>\u00d6sszetev\u0151<br \/>\nS\u00e9r\u00fcl\u00e9kenys\u00e9g<\/p>\n<p>spring-web:3.0.5<br \/>\nCVE-2016-1000027<\/p>\n<p>spring-context:3.0.5<br \/>\nCVE-2011-2894<\/p>\n<p>spring-core:3.0.5<br \/>\nCVE-2011-2894<\/p>\n<p>\nLe\u00edr\u00e1s <noindex><a rel=\"nofollow\" href=\"https:\/\/nvd.nist.gov\/vuln\/detail\/CVE-2011-2894\">CVE-2011-2894<\/a><\/noindex> az NVD-b\u0151l:<br \/>\n<img decoding=\"async\" alt=\"DevSecOps: m\u0171k\u00f6d\u00e9si elvek \u00e9s SCA \u00f6sszehasonl\u00edt\u00e1s. Els\u0151 r\u00e9sz\" src=\"\/wp-content\/uploads\/2020\/08\/31b403eca6d7541c766c9a560bfbe6b7.png\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nLe\u00edr\u00e1s <noindex><a rel=\"nofollow\" href=\"https:\/\/nvd.nist.gov\/vuln\/detail\/CVE-2016-1000027\">CVE-2016-1000027<\/a><\/noindex> az NVD-b\u0151l:<br \/>\n<img decoding=\"async\" alt=\"DevSecOps: m\u0171k\u00f6d\u00e9si elvek \u00e9s SCA \u00f6sszehasonl\u00edt\u00e1s. Els\u0151 r\u00e9sz\" src=\"\/wp-content\/uploads\/2020\/08\/d5b54a6ac15070b12f013eaacd2878f2.png\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nA CVE-2011-2894 \u00f6n\u00e1ll\u00f3an el\u00e9gg\u00e9 ismert. A jelent\u00e9sben <noindex><a rel=\"nofollow\" href=\"http:\/\/www.pwntester.com\/blog\/2013\/12\/16\/cve-2011-2894-deserialization-spring-rce\/\">a White Source 2011-es \u00e9vj\u00e1rata<\/a><\/noindex> ezt a CVE-t az egyik leggyakrabban el\u0151fordul\u00f3k\u00e9nt ismert\u00e9k el. A CVE-2016-100027-re vonatkoz\u00f3an az NVD-ben viszonylag kev\u00e9s le\u00edr\u00e1s tal\u00e1lhat\u00f3, \u00e9s \u00fagy t\u0171nik, hogy kiz\u00e1r\u00f3lag a Spring Framework 4.1.4-re alkalmazhat\u00f3. N\u00e9zz\u00fck meg a <noindex><a rel=\"nofollow\" href=\"https:\/\/www.tenable.com\/security\/research\/tra-2016-20\">reference<\/a><\/noindex> \u00e9s itt minden egyre vil\u00e1gosabb\u00e1 v\u00e1lik. A <noindex><a rel=\"nofollow\" href=\"https:\/\/www.tenable.com\/security\/research\/tra-2016-20\">Tenable cikk\u00e9b\u0151l<\/a><\/noindex> azt \u00e9rtj\u00fck, hogy a RemoteInvocationSerializingExporter sebezhet\u0151s\u00e9ge mellett <code>a CVE-2011-2894-ben a sebezhet\u0151s\u00e9g megfigyelhet\u0151 a<\/code> HttpInvokerServiceExporter-ben. <code>Err\u0151l besz\u00e9l nek\u00fcnk a Nexus IQ:<\/code>.<\/p>\n<p><img decoding=\"async\" alt=\"DevSecOps: m\u0171k\u00f6d\u00e9si elvek \u00e9s SCA \u00f6sszehasonl\u00edt\u00e1s. Els\u0151 r\u00e9sz\" src=\"\/wp-content\/uploads\/2020\/08\/a33f0853ce892d28eafafe2c8e7b2228.png\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nMindazon\u00e1ltal az NVD-ben nincs hasonl\u00f3, ami miatt a Dependency Check \u00e9s a Dependency Track hamis negat\u00edv adatokat kap.<\/p>\n<p>A CVE-2011-2894 le\u00edr\u00e1s\u00e1b\u00f3l az is kider\u00fcl, hogy a sebezhet\u0151s\u00e9g val\u00f3ban jelen van a spring-context:3.0.5 \u00e9s a spring-core:3.0.5 verzi\u00f3kban. Ezt meger\u0151s\u00edti annak a cikknek a feljegyz\u00e9se, aki felfedezte ezt a sebezhet\u0151s\u00e9get.<\/p>\n<h4>\u21162<\/h4>\n<p><\/p>\n<p>\u00d6sszetev\u0151<br \/>\nS\u00e9r\u00fcl\u00e9kenys\u00e9g<br \/>\nEredm\u00e9ny<\/p>\n<p>struts2-core:2.3.30<br \/>\nCVE-2016-4003<br \/>\nHAMIS<\/p>\n<p>\nHa megvizsg\u00e1ljuk a CVE-2016-4003 sebezhet\u0151s\u00e9get, akkor azt tapasztaljuk, hogy m\u00e1r a 2.3.28 verzi\u00f3ban jav\u00edtott\u00e1k, ennek ellen\u00e9re a Nexus IQ m\u00e9gis \u00e9rtes\u00edt r\u00f3la. A sebezhet\u0151s\u00e9g le\u00edr\u00e1s\u00e1ban van egy megjegyz\u00e9s:<\/p>\n<p><img decoding=\"async\" alt=\"DevSecOps: m\u0171k\u00f6d\u00e9si elvek \u00e9s SCA \u00f6sszehasonl\u00edt\u00e1s. Els\u0151 r\u00e9sz\" src=\"\/wp-content\/uploads\/2020\/08\/081f9006748083727e424b709a338d60.png\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nEz azt jelenti, hogy a sebezhet\u0151s\u00e9g csak egy elavult JRE verzi\u00f3val egy\u00fctt l\u00e9tezik, amir\u0151l figyelmeztetnek minket. Ennek ellen\u00e9re ezt hamis pozit\u00edvnak tekintj\u00fck, b\u00e1r nem a legrosszabb.<\/p>\n<h4>\u2116 3<\/h4>\n<p><\/p>\n<p>\u00d6sszetev\u0151<br \/>\nS\u00e9r\u00fcl\u00e9kenys\u00e9g<br \/>\nEredm\u00e9ny<\/p>\n<p>xwork-core:2.3.30<br \/>\nCVE-2017-9804<br \/>\nIGAZ<\/p>\n<p>xwork-core:2.3.30<br \/>\nCVE-2017-7672<br \/>\nHAMIS<\/p>\n<p>\nHa megn\u00e9zz\u00fck a CVE-2017-9804 \u00e9s a CVE-2017-7672 le\u00edr\u00e1s\u00e1t, akkor megfogalmaz\u00f3dik, hogy a probl\u00e9ma a <code>URLValidator oszt\u00e1lyban<\/code>, \u00e9s a CVE-2017-9804 a CVE-2017-7672-b\u0151l ered. A m\u00e1sodik sebezhet\u0151s\u00e9g megl\u00e9te semmilyen hasznos inform\u00e1ci\u00f3t nem hordoz, azon k\u00edv\u00fcl, hogy a s\u00falyoss\u00e1ga magasra n\u0151tt, ez\u00e9rt ezt felesleges zajnak lehet tekinteni.<\/p>\n<p>\u00d6sszess\u00e9g\u00e9ben m\u00e1s hamis pozit\u00edvokat nem tal\u00e1ltunk a Nexus IQ-n\u00e1l.<\/p>\n<h3>\u21164<\/h3>\n<p>\nT\u00f6bb szempont is kiemeli az IQ-t m\u00e1s megold\u00e1sok k\u00f6z\u00fcl.<\/p>\n<p>\u00d6sszetev\u0151<br \/>\nS\u00e9r\u00fcl\u00e9kenys\u00e9g<br \/>\nEredm\u00e9ny<\/p>\n<p>spring-web:3.0.5<br \/>\nCVE-2020-5398<br \/>\nIGAZ<\/p>\n<p>A NVD szerint a CVE csak az 5.2.x 5.2.3 el\u0151tti verzi\u00f3ira, az 5.1.x 5.1.13 el\u0151tti verzi\u00f3ira \u00e9s az 5.0.x 5.0.16 el\u0151tti verzi\u00f3ira vonatkozik, ugyanakkor ha megn\u00e9zz\u00fck a CVE le\u00edr\u00e1s\u00e1t a Nexus IQ-ban, a k\u00f6vetkez\u0151ket l\u00e1thatjuk:<br \/>\n<i>Tan\u00e1csad\u00f3i elt\u00e9r\u00e9s \u00e9rtes\u00edt\u00e9s: A Sonatype biztons\u00e1gi kutat\u00f3csapata felfedezte, hogy ezt a sebezhet\u0151s\u00e9get a 3.0.2.RELEASE verzi\u00f3ban vezett\u00e9k be, \u00e9s nem az 5.0.x-ben, ahogyan a tan\u00e1csad\u00f3ban szerepel.<\/i><\/p>\n<p>Ezt egy PoC k\u00f6veti e sebezhet\u0151s\u00e9ghez, amely jelzi, hogy ez a 3.0.5 verzi\u00f3ban is jelen van.<\/p>\n<p>Hamis negat\u00edvok ker\u00fclnek a Dependency Check \u00e9s a Dependency Track k\u00fcld\u00e9sre.<\/p>\n<h3>\u21165<\/h3>\n<p>\nN\u00e9zz\u00fck meg a hamis pozit\u00edvokat a Dependency Check \u00e9s a Dependency Track eset\u00e9ben.<\/p>\n<p>A Dependency Check kiemelkedik abban, hogy azokat a CVE-ket t\u00fckr\u00f6zi, amelyek az NVD-ben az eg\u00e9sz keretrendszerre vonatkoznak, azokban a komponensekben, amelyekhez ezek a CVE-k nem alkalmazhat\u00f3ak. Ez vonatkozik a CVE-2012-0394, CVE-2013-2115, CVE-2014-0114, CVE-2015-0899, CVE-2015-2992, CVE-2016-1181, CVE-2016-1182 CVE-kre, amelyeket a Dependency Check<\/p>\n<p>Hasonl\u00f3 helyzet \u00e1ll fenn a spring-tx:3.0.5 eset\u00e9ben, \u00e9s hasonl\u00f3 a helyzet a struts-core:1.3.8-n\u00e1l. A struts-core eset\u00e9ben a Dependency Check \u00e9s a Dependency Track rengeteg sebezhet\u0151s\u00e9get tal\u00e1lt, amelyek val\u00f3j\u00e1ban a struts2-core-ra vonatkoznak, amely l\u00e9nyeg\u00e9ben egy k\u00fcl\u00f6n\u00e1ll\u00f3 keretrendszer. Eset\u00fcnkben a Nexus IQ helyesen \u00e9rtelmezte a helyzetet, \u00e9s az \u00e1ltala kiadott CVE-k k\u00f6z\u00f6tt jelezte, hogy a struts-core el\u00e9rte a lej\u00e1rati d\u00e1tumot, \u00e9s \u00e1t kell t\u00e9rni a struts2-core-ra.<\/p>\n<h3>6. sz\u00e1m<\/h3>\n<p>\nEgyes helyzetekben nem igazs\u00e1gos az egy\u00e9rtelm\u0171 hib\u00e1t a Dependency Check \u00e9s a Dependency Track \u00e1ltal \u00e9rtelmezni. A CVE-2013-4152, CVE-2013-6429, CVE-2013-6430, CVE-2013-7315, CVE-2014-0054, CVE-2014-0225, CVE-2014-0225 p\u00e9ld\u00e1ul, amelyeket a Dependency Check \u00e9s a Dependency Track a spring-core:3.0.5-h\u00f6z sorolt, val\u00f3j\u00e1ban a spring-web:3.0.5-h\u00f6z tartoznak. K\u00f6zben ezek k\u00f6z\u00fcl n\u00e9h\u00e1ny CVE-t a Nexus IQ is megtal\u00e1lt, azonban az IQ helyesen a m\u00e1sik komponenshez rendelte \u0151ket. Az, hogy ezek a sebezhet\u0151s\u00e9gek nem voltak felfedezve a spring-core-ban, nem jelenti azt, hogy ne lenn\u00e9nek a keretrendszerben alapvet\u0151en, \u00e9s az open source eszk\u00f6z\u00f6k jogosan jelezt\u00e9k ezeket a sebezhet\u0151s\u00e9geket (csak egy kicsit t\u00e9vedtek). <\/p>\n<h3>K\u00f6vetkeztet\u00e9sek<\/h3>\n<p>\nAhogy l\u00e1thatjuk, a felfedezett sebezhet\u0151s\u00e9gek hiteless\u00e9g\u00e9nek meghat\u00e1roz\u00e1sa k\u00e9zi ellen\u0151rz\u00e9s eset\u00e9n nem ad egy\u00e9rtelm\u0171 eredm\u00e9nyeket, ami vit\u00e1s helyzeteket teremt. Az eredm\u00e9nyek azt mutatj\u00e1k, hogy a Nexus IQ megold\u00e1sa a legkevesebb hamis pozit\u00edv eredm\u00e9nnyel \u00e9s a legnagyobb pontoss\u00e1ggal b\u00edr. <\/p>\n<p>El\u0151sz\u00f6r is, ez azzal kapcsolatos, hogy a Sonatype csapata kib\u0151v\u00edtette a NVD-b\u0151l sz\u00e1rmaz\u00f3 CVE sebezhet\u0151s\u00e9gek le\u00edr\u00e1s\u00e1t saj\u00e1t adatb\u00e1zisaikban, pontosan megjel\u00f6lve a sebezhet\u0151s\u00e9g oszt\u00e1ly\u00e1t vagy funkci\u00f3j\u00e1t az adott komponens verzi\u00f3j\u00e1ra n\u00e9zve, tov\u00e1bbi kutat\u00e1sokat v\u00e9gezve (p\u00e9ld\u00e1ul az \u00f6regebb szoftververzi\u00f3k sebezhet\u0151s\u00e9geit is ellen\u0151rizve). <\/p>\n<p>A NVD-be nem beker\u00fclt sebezhet\u0151s\u00e9gek, de a Sonatype adatb\u00e1zis\u00e1ban SONATYPE jel\u00f6l\u00e9ssel szerepl\u0151 sebezhet\u0151s\u00e9gek is jelent\u0151s hat\u00e1ssal vannak az eredm\u00e9nyekre. A jelent\u00e9s szerint <noindex><a rel=\"nofollow\" href=\"https:\/\/www.whitesourcesoftware.com\/open-source-vulnerability-management-report\/\">A ny\u00edlt forr\u00e1sk\u00f3d\u00fa biztons\u00e1gi sebezhet\u0151s\u00e9gek \u00e1llapota 2020<\/a><\/noindex> a felfedezett ny\u00edlt forr\u00e1sk\u00f3d\u00fa sebezhet\u0151s\u00e9gek 45%-\u00e1r\u00f3l nem sz\u00e1molnak be az NVD-ben. A WhiteSource adatb\u00e1zisa szerint a ny\u00edlt forr\u00e1sk\u00f3d\u00fa sebezhet\u0151s\u00e9gek csup\u00e1n 29%-a, amelyet az NVD-n k\u00edv\u00fcl regisztr\u00e1ltak, v\u00e9g\u00fcl publik\u00e1lj\u00e1k az NVD-ben, ez\u00e9rt oly fontos, hogy m\u00e1s forr\u00e1sokban is keresni a sebezhet\u0151s\u00e9geket.<\/p>\n<p>\u00d6sszess\u00e9g\u00e9ben a Dependency Check rengeteg zajt gener\u00e1l, mik\u00f6zben egyes sebezhet\u0151 komponensek kimaradnak. A Dependency Track kevesebb zajt gener\u00e1l \u00e9s nagyobb sz\u00e1m\u00fa komponenst fedez fel, ami eszt\u00e9tikailag is kellemesebb a webes fel\u00fcleten.<\/p>\n<p>Mindazon\u00e1ltal a gyakorlat azt mutatja, hogy az open source-nak kellene az els\u0151 l\u00e9p\u00e9snek lennie a fejl\u0151d\u0151 DevSecOps ir\u00e1ny\u00e1ba. Az els\u0151 dolog, amin \u00e9rdemes elgondolkodni a SCA fejleszt\u00e9sbe val\u00f3 be\u00e1gyaz\u00e1s\u00e1hoz, a folyamatok, nevezetesen a vezet\u0151s\u00e9ggel \u00e9s a kapcsol\u00f3d\u00f3 r\u00e9szlegekkel val\u00f3 k\u00f6z\u00f6s gondolkod\u00e1s arr\u00f3l, hogyan is n\u00e9zzenek ki az ide\u00e1lis folyamatok a saj\u00e1t szervezet\u00fckben. Lehet, hogy kider\u00fcl, hogy a Dependency Check vagy a Dependency Track az \u00d6n\u00f6k sz\u00e1m\u00e1ra kezdetben minden \u00fczleti ig\u00e9nyt kiel\u00e9g\u00edt, m\u00edg a v\u00e1llalati megold\u00e1sok logikus folytat\u00e1s\u00e1t jelentik az egyre bonyolultabb alkalmaz\u00e1sok fejleszt\u00e9s\u00e9nek.<\/p>\n<p>                        <b class=\"spoiler_title\">A. Mell\u00e9klet. Eredm\u00e9nyek az \u00f6sszetev\u0151k kapcs\u00e1n<\/b><br \/>\n                        <b>Jel\u00f6l\u00e9sek:<\/b><\/p>\n<ul>\n<li>Magas \u2014 magas \u00e9s kritikus szint\u0171 sebezhet\u0151s\u00e9gek az \u00f6sszetev\u0151ben<\/li>\n<li>K\u00f6zepes \u2014 k\u00f6zepes szint\u0171 sebezhet\u0151s\u00e9gek az \u00f6sszetev\u0151ben<\/li>\n<li>IGAZ \u2014 helyesen azonos\u00edtott sebezhet\u0151s\u00e9g (True positive issue)<\/li>\n<li>HAMIS \u2014 t\u00e9ves riaszt\u00e1s (False positive issue)<\/li>\n<\/ul>\n<p><\/p>\n<p>\u00d6sszetev\u0151<br \/>\nNexus IQ<br \/>\nDependency Check<br \/>\nDependency Track<br \/>\nEredm\u00e9ny<\/p>\n<p>dom4j: 1.6.1<br \/>\nMagas<br \/>\nMagas<br \/>\nMagas<br \/>\nIGAZ<\/p>\n<p>log4j-core: 2.3<br \/>\nMagas<br \/>\nMagas<br \/>\nMagas<br \/>\nIGAZ<\/p>\n<p>log4j: 1.2.14<br \/>\nMagas<br \/>\nMagas<br \/>\n\u2014<br \/>\nIGAZ<\/p>\n<p>commons-collections: 3.1<br \/>\nMagas<br \/>\nMagas<br \/>\nMagas<br \/>\nIGAZ<\/p>\n<p>commons-fileupload: 1.3.2<br \/>\nMagas<br \/>\nMagas<br \/>\nMagas<br \/>\nIGAZ<\/p>\n<p>commons-beanutils: 1.7.0<br \/>\nMagas<br \/>\nMagas<br \/>\nMagas<br \/>\nIGAZ<\/p>\n<p>commons-codec: 1:10<br \/>\nK\u00f6zepes<br \/>\n\u2014<br \/>\n\u2014<br \/>\nIGAZ<\/p>\n<p>mysql-connector-java: 5.1.42<br \/>\nMagas<br \/>\nMagas<br \/>\nMagas<br \/>\nIGAZ<\/p>\n<p>spring-expression: 3.0.5<br \/>\nMagas<br \/>\nkomponens nem tal\u00e1lhat\u00f3<\/p>\n<p>IGAZ<\/p>\n<p>spring-web:3.0.5<br \/>\nMagas<br \/>\nkomponens nem tal\u00e1lhat\u00f3<br \/>\nMagas<br \/>\nIGAZ<\/p>\n<p>spring-context:3.0.5<br \/>\nK\u00f6zepes<br \/>\nkomponens nem tal\u00e1lhat\u00f3<br \/>\n\u2014<br \/>\nIGAZ<\/p>\n<p>spring-core:3.0.5<br \/>\nK\u00f6zepes<br \/>\nMagas<br \/>\nMagas<br \/>\nIGAZ<\/p>\n<p>struts2-config-browser-plugin: 2.3.30<br \/>\nK\u00f6zepes<br \/>\n\u2014<br \/>\n\u2014<br \/>\nIGAZ<\/p>\n<p>spring-tx: 3.0.5<br \/>\n\u2014<br \/>\nMagas<br \/>\n\u2014<br \/>\nHAMIS<\/p>\n<p>struts-core: 1.3.8<br \/>\nMagas<br \/>\nMagas<br \/>\nMagas<br \/>\nIGAZ<\/p>\n<p>xwork-core: 2.3.30<br \/>\nMagas<br \/>\n\u2014<br \/>\n\u2014<br \/>\nIGAZ<\/p>\n<p>struts2-core: 2.3.30<br \/>\nMagas<br \/>\nMagas<br \/>\nMagas<br \/>\nIGAZ<\/p>\n<p>struts-taglib: 1.3.8<br \/>\n\u2014<br \/>\nMagas<br \/>\n\u2014<br \/>\nHAMIS<\/p>\n<p>struts-tiles-1.3.8<br \/>\n\u2014<br \/>\nMagas<br \/>\n\u2014<br \/>\nHAMIS<\/p>\n<p><\/p>\n<p>                        <b class=\"spoiler_title\">B. Mell\u00e9klet. Eredm\u00e9nyek a sebezhet\u0151s\u00e9gek kapcs\u00e1n<\/b><br \/>\n                        <b>Jel\u00f6l\u00e9sek:<\/b><\/p>\n<ul>\n<li>Magas \u2014 magas \u00e9s kritikus szint\u0171 sebezhet\u0151s\u00e9gek az \u00f6sszetev\u0151ben<\/li>\n<li>K\u00f6zepes \u2014 k\u00f6zepes szint\u0171 sebezhet\u0151s\u00e9gek az \u00f6sszetev\u0151ben<\/li>\n<li>IGAZ \u2014 helyesen azonos\u00edtott sebezhet\u0151s\u00e9g (True positive issue)<\/li>\n<li>HAMIS \u2014 t\u00e9ves riaszt\u00e1s (False positive issue)<\/li>\n<\/ul>\n<p><\/p>\n<p>\u00d6sszetev\u0151<br \/>\nNexus IQ<br \/>\nDependency Check<br \/>\nDependency Track<br \/>\nS\u00falyoss\u00e1g<br \/>\nEredm\u00e9ny<br \/>\nMegjegyz\u00e9s<\/p>\n<p>dom4j: 1.6.1<br \/>\nCVE-2018-1000632<br \/>\nCVE-2018-1000632<br \/>\nCVE-2018-1000632<br \/>\nMagas<br \/>\nIGAZ<\/p>\n<p>CVE-2020-10683<br \/>\nCVE-2020-10683<br \/>\nCVE-2020-10683<br \/>\nMagas<br \/>\nIGAZ<\/p>\n<p>log4j-core: 2.3<br \/>\nCVE-2017-5645<br \/>\nCVE-2017-5645<br \/>\nCVE-2017-5645<br \/>\nMagas<br \/>\nIGAZ<\/p>\n<p>CVE-2020-9488<br \/>\nCVE-2020-9488<br \/>\nCVE-2020-9488<br \/>\nAlacsony<br \/>\nIGAZ<\/p>\n<p>log4j: 1.2.14<br \/>\nCVE-2019-17571<br \/>\nCVE-2019-17571<br \/>\n\u2014<br \/>\nMagas<br \/>\nIGAZ<\/p>\n<p>\u2014<br \/>\nCVE-2020-9488<br \/>\n\u2014<br \/>\nAlacsony<br \/>\nIGAZ<\/p>\n<p>SONATYPE-2010-0053<br \/>\n\u2014<br \/>\n\u2014<br \/>\nMagas<br \/>\nIGAZ<\/p>\n<p>commons-collections: 3.1<br \/>\n\u2014<br \/>\nCVE-2015-6420<br \/>\nCVE-2015-6420<br \/>\nMagas<br \/>\nHAMIS<br \/>\nIsm\u00e9tli RCE(OSSINDEX)<\/p>\n<p>\u2014<br \/>\nCVE-2017-15708<br \/>\nCVE-2017-15708<br \/>\nMagas<br \/>\nHAMIS<br \/>\nIsm\u00e9tli RCE(OSSINDEX)<\/p>\n<p>SONATYPE-2015-0002<br \/>\nRCE (OSSINDEX)<br \/>\nRCE(OSSINDEX)<br \/>\nMagas<br \/>\nIGAZ<\/p>\n<p>commons-fileupload: 1.3.2<br \/>\nCVE-2016-1000031<br \/>\nCVE-2016-1000031<br \/>\nCVE-2016-1000031<br \/>\nMagas<br \/>\nIGAZ<\/p>\n<p>SONATYPE-2014-0173<br \/>\n\u2014<br \/>\n\u2014<br \/>\nK\u00f6zepes<br \/>\nIGAZ<\/p>\n<p>commons-beanutils: 1.7.0<br \/>\nCVE-2014-0114<br \/>\nCVE-2014-0114<br \/>\nCVE-2014-0114<br \/>\nMagas<br \/>\nIGAZ<\/p>\n<p>\u2014<br \/>\nCVE-2019-10086<br \/>\nCVE-2019-10086<br \/>\nMagas<br \/>\nHAMIS<br \/>\nA sebezhet\u0151s\u00e9g csak a 1.9.2+ verzi\u00f3kra vonatkozik<\/p>\n<p>commons-codec: 1:10<br \/>\nSONATYPE-2012-0050<br \/>\n\u2014<br \/>\n\u2014<br \/>\nK\u00f6zepes<br \/>\nIGAZ<\/p>\n<p>mysql-connector-java: 5.1.42<br \/>\nCVE-2018-3258<br \/>\nCVE-2018-3258<br \/>\nCVE-2018-3258<br \/>\nMagas<br \/>\nIGAZ<\/p>\n<p>CVE-2019-2692<br \/>\nCVE-2019-2692<br \/>\n\u2014<br \/>\nK\u00f6zepes<br \/>\nIGAZ<\/p>\n<p>\u2014<br \/>\nCVE-2020-2875<br \/>\n\u2014<br \/>\nK\u00f6zepes<br \/>\nHAMIS<br \/>\nUgyanaz a sebezhet\u0151s\u00e9g, mint a CVE-2019-2692, de a hivatkoz\u00e1ssal, hogy \"a t\u00e1mad\u00e1sok jelent\u0151sen befoly\u00e1solhatj\u00e1k a tov\u00e1bbi term\u00e9keket\"<\/p>\n<p>\u2014<br \/>\nCVE-2017-15945<br \/>\n\u2014<br \/>\nMagas<br \/>\nHAMIS<br \/>\nNem vonatkozik a mysql-connector-java-ra<\/p>\n<p>\u2014<br \/>\nCVE-2020-2933<br \/>\n\u2014<br \/>\nAlacsony<br \/>\nHAMIS<br \/>\nDuplik\u00e1lt a CVE-2020-2934-hez<\/p>\n<p>CVE-2020-2934<br \/>\nCVE-2020-2934<br \/>\n\u2014<br \/>\nK\u00f6zepes<br \/>\nIGAZ<\/p>\n<p>spring-expression: 3.0.5<br \/>\nCVE-2018-1270<br \/>\nkomponens nem tal\u00e1lhat\u00f3<br \/>\n\u2014<br \/>\nMagas<br \/>\nIGAZ<\/p>\n<p>CVE-2018-1257<br \/>\n\u2014<br \/>\n\u2014<br \/>\nK\u00f6zepes<br \/>\nIGAZ<\/p>\n<p>spring-web:3.0.5<br \/>\nCVE-2016-1000027<br \/>\nkomponens nem tal\u00e1lhat\u00f3<br \/>\n\u2014<br \/>\nMagas<br \/>\nIGAZ<\/p>\n<p>CVE-2014-0225<br \/>\n\u2014<br \/>\nCVE-2014-0225<br \/>\nMagas<br \/>\nIGAZ<\/p>\n<p>CVE-2011-2730<br \/>\n\u2014<br \/>\n\u2014<br \/>\nMagas<br \/>\nIGAZ<\/p>\n<p>\u2014<br \/>\n\u2014<br \/>\nCVE-2013-4152<br \/>\nK\u00f6zepes<br \/>\nIGAZ<\/p>\n<p>CVE-2018-1272<br \/>\n\u2014<br \/>\n\u2014<br \/>\nMagas<br \/>\nIGAZ<\/p>\n<p>CVE-2020-5398<br \/>\n\u2014<br \/>\n\u2014<br \/>\nMagas<br \/>\nIGAZ<br \/>\nP\u00e9ld\u00e1s eset az IQ mellett: \u201eA Sonatype biztons\u00e1gi kutat\u00f3csapata felfedezte, hogy ezt a sebezhet\u0151s\u00e9get a 3.0.2.RELEASE verzi\u00f3ban vezett\u00e9k be, \u00e9s nem az 5.0.x verzi\u00f3ban, ahogy a k\u00f6zlem\u00e9nyben \u00e1llt.\u201d<\/p>\n<p>CVE-2013-6429<br \/>\n\u2014<br \/>\n\u2014<br \/>\nK\u00f6zepes<br \/>\nIGAZ<\/p>\n<p>CVE-2014-0054<br \/>\n\u2014<br \/>\nCVE-2014-0054<br \/>\nK\u00f6zepes<br \/>\nIGAZ<\/p>\n<p>CVE-2013-6430<br \/>\n\u2014<br \/>\n\u2014<br \/>\nK\u00f6zepes<br \/>\nIGAZ<\/p>\n<p>spring-context:3.0.5<br \/>\nCVE-2011-2894<br \/>\nkomponens nem tal\u00e1lhat\u00f3<br \/>\n\u2014<br \/>\nK\u00f6zepes<br \/>\nIGAZ<\/p>\n<p>spring-core:3.0.5<br \/>\n\u2014<br \/>\nCVE-2011-2730<br \/>\nCVE-2011-2730<br \/>\nMagas<br \/>\nIGAZ<\/p>\n<p>CVE-2011-2894<br \/>\nCVE-2011-2894<br \/>\nCVE-2011-2894<br \/>\nK\u00f6zepes<br \/>\nIGAZ<\/p>\n<p>\u2014<br \/>\n\u2014<br \/>\nCVE-2013-4152<br \/>\nK\u00f6zepes<br \/>\nHAMIS<br \/>\nEz a sebezhet\u0151s\u00e9g ugyanennek a sebezhet\u0151s\u00e9gnek az m\u00e1solata a spring-web sz\u00e1m\u00e1ra<\/p>\n<p>\u2014<br \/>\nCVE-2013-4152<br \/>\n\u2014<br \/>\nK\u00f6zepes<br \/>\nHAMIS<br \/>\nA sebezhet\u0151s\u00e9g a spring-web komponenshez tartozik<\/p>\n<p>\u2014<br \/>\nCVE-2013-6429<br \/>\nCVE-2013-6429<br \/>\nK\u00f6zepes<br \/>\nHAMIS<br \/>\nA sebezhet\u0151s\u00e9g a spring-web komponenshez tartozik<\/p>\n<p>\u2014<br \/>\nCVE-2013-6430<br \/>\n\u2014<br \/>\nK\u00f6zepes<br \/>\nHAMIS<br \/>\nA sebezhet\u0151s\u00e9g a spring-web komponenshez tartozik<\/p>\n<p>\u2014<br \/>\nCVE-2013-7315<br \/>\nCVE-2013-7315<br \/>\nK\u00f6zepes<br \/>\nHAMIS<br \/>\nSPLIT a CVE-2013-4152-b\u0151l. + A sebezhet\u0151s\u00e9g a spring-web komponenshez tartozik<\/p>\n<p>\u2014<br \/>\nCVE-2014-0054<br \/>\nCVE-2014-0054<br \/>\nK\u00f6zepes<br \/>\nHAMIS<br \/>\nA sebezhet\u0151s\u00e9g a spring-web komponenshez tartozik<\/p>\n<p>\u2014<br \/>\nCVE-2014-0225<br \/>\n\u2014<br \/>\nMagas<br \/>\nHAMIS<br \/>\nA sebezhet\u0151s\u00e9g a spring-web komponenshez tartozik<\/p>\n<p>\u2014<br \/>\n\u2014<br \/>\nCVE-2014-0225<br \/>\nMagas<br \/>\nHAMIS<br \/>\nEz a sebezhet\u0151s\u00e9g ugyanennek a sebezhet\u0151s\u00e9gnek az m\u00e1solata a spring-web sz\u00e1m\u00e1ra<\/p>\n<p>\u2014<br \/>\nCVE-2014-1904<br \/>\nCVE-2014-1904<br \/>\nK\u00f6zepes<br \/>\nHAMIS<br \/>\nA sebezhet\u0151s\u00e9g a spring-web-mvc komponenshez tartozik<\/p>\n<p>\u2014<br \/>\nCVE-2014-3625<br \/>\nCVE-2014-3625<br \/>\nK\u00f6zepes<br \/>\nHAMIS<br \/>\nA sebezhet\u0151s\u00e9g a spring-web-mvc komponenshez tartozik<\/p>\n<p>\u2014<br \/>\nCVE-2016-9878<br \/>\nCVE-2016-9878<br \/>\nMagas<br \/>\nHAMIS<br \/>\nA sebezhet\u0151s\u00e9g a spring-web-mvc komponenshez tartozik<\/p>\n<p>\u2014<br \/>\nCVE-2018-1270<br \/>\nCVE-2018-1270<br \/>\nMagas<br \/>\nHAMIS<br \/>\nA spring-expression \/ spring-messages sz\u00e1m\u00e1ra<\/p>\n<p>\u2014<br \/>\nCVE-2018-1271<br \/>\nCVE-2018-1271<br \/>\nK\u00f6zepes<br \/>\nHAMIS<br \/>\nA sebezhet\u0151s\u00e9g a spring-web-mvc komponenshez tartozik<\/p>\n<p>\u2014<br \/>\nCVE-2018-1272<br \/>\nCVE-2018-1272<br \/>\nMagas<br \/>\nIGAZ<\/p>\n<p>CVE-2014-3578<br \/>\nCVE-2014-3578 (OSSINDEX)<br \/>\nCVE-2014-3578<br \/>\nK\u00f6zepes<br \/>\nIGAZ<\/p>\n<p>SONATYPE-2015-0327<br \/>\n\u2014<br \/>\n\u2014<br \/>\nAlacsony<br \/>\nIGAZ<\/p>\n<p>struts2-config-browser-plugin: 2.3.30<br \/>\nSONATYPE-2016-0104<br \/>\n\u2014<br \/>\n\u2014<br \/>\nK\u00f6zepes<br \/>\nIGAZ<\/p>\n<p>spring-tx: 3.0.5<br \/>\n\u2014<br \/>\nCVE-2011-2730<br \/>\n\u2014<br \/>\nMagas<br \/>\nHAMIS<br \/>\nA sebezhet\u0151s\u00e9g nem vonatkozik a spring-tx-re<\/p>\n<p>\u2014<br \/>\nCVE-2011-2894<br \/>\n\u2014<br \/>\nMagas<br \/>\nHAMIS<br \/>\nA sebezhet\u0151s\u00e9g nem vonatkozik a spring-tx-re<\/p>\n<p>\u2014<br \/>\nCVE-2013-4152<br \/>\n\u2014<br \/>\nK\u00f6zepes<br \/>\nHAMIS<br \/>\nA sebezhet\u0151s\u00e9g nem vonatkozik a spring-tx-re<\/p>\n<p>\u2014<br \/>\nCVE-2013-6429<br \/>\n\u2014<br \/>\nK\u00f6zepes<br \/>\nHAMIS<br \/>\nA sebezhet\u0151s\u00e9g nem vonatkozik a spring-tx-re<\/p>\n<p>\u2014<br \/>\nCVE-2013-6430<br \/>\n\u2014<br \/>\nK\u00f6zepes<br \/>\nHAMIS<br \/>\nA sebezhet\u0151s\u00e9g nem vonatkozik a spring-tx-re<\/p>\n<p>\u2014<br \/>\nCVE-2013-7315<br \/>\n\u2014<br \/>\nK\u00f6zepes<br \/>\nHAMIS<br \/>\nA sebezhet\u0151s\u00e9g nem vonatkozik a spring-tx-re<\/p>\n<p>\u2014<br \/>\nCVE-2014-0054<br \/>\n\u2014<br \/>\nK\u00f6zepes<br \/>\nHAMIS<br \/>\nA sebezhet\u0151s\u00e9g nem vonatkozik a spring-tx-re<\/p>\n<p>\u2014<br \/>\nCVE-2014-0225<br \/>\n\u2014<br \/>\nMagas<br \/>\nHAMIS<br \/>\nA sebezhet\u0151s\u00e9g nem vonatkozik a spring-tx-re<\/p>\n<p>\u2014<br \/>\nCVE-2014-1904<br \/>\n\u2014<br \/>\nK\u00f6zepes<br \/>\nHAMIS<br \/>\nA sebezhet\u0151s\u00e9g nem vonatkozik a spring-tx-re<\/p>\n<p>\u2014<br \/>\nCVE-2014-3625<br \/>\n\u2014<br \/>\nK\u00f6zepes<br \/>\nHAMIS<br \/>\nA sebezhet\u0151s\u00e9g nem vonatkozik a spring-tx-re<\/p>\n<p>\u2014<br \/>\nCVE-2016-9878<br \/>\n\u2014<br \/>\nMagas<br \/>\nHAMIS<br \/>\nA sebezhet\u0151s\u00e9g nem vonatkozik a spring-tx-re<\/p>\n<p>\u2014<br \/>\nCVE-2018-1270<br \/>\n\u2014<br \/>\nMagas<br \/>\nHAMIS<br \/>\nA sebezhet\u0151s\u00e9g nem vonatkozik a spring-tx-re<\/p>\n<p>\u2014<br \/>\nCVE-2018-1271<br \/>\n\u2014<br \/>\nK\u00f6zepes<br \/>\nHAMIS<br \/>\nA sebezhet\u0151s\u00e9g nem vonatkozik a spring-tx-re<\/p>\n<p>\u2014<br \/>\nCVE-2018-1272<br \/>\n\u2014<br \/>\nK\u00f6zepes<br \/>\nHAMIS<br \/>\nA sebezhet\u0151s\u00e9g nem vonatkozik a spring-tx-re<\/p>\n<p>struts-core: 1.3.8<br \/>\n\u2014<br \/>\nCVE-2011-5057 (OSSINDEX)<\/p>\n<p>K\u00f6zepes<br \/>\nHAMIS<br \/>\nSebezhet\u0151s\u00e9g a Struts 2-h\u00f6z<\/p>\n<p>\u2014<br \/>\nCVE-2012-0391 (OSSINDEX)<br \/>\nCVE-2012-0391<br \/>\nMagas<br \/>\nHAMIS<br \/>\nSebezhet\u0151s\u00e9g a Struts 2-h\u00f6z<\/p>\n<p>\u2014<br \/>\nCVE-2014-0094 (OSSINDEX)<br \/>\nCVE-2014-0094<br \/>\nK\u00f6zepes<br \/>\nHAMIS<br \/>\nSebezhet\u0151s\u00e9g a Struts 2-h\u00f6z<\/p>\n<p>\u2014<br \/>\nCVE-2014-0113 (OSSINDEX)<br \/>\nCVE-2014-0113<br \/>\nMagas<br \/>\nHAMIS<br \/>\nSebezhet\u0151s\u00e9g a Struts 2-h\u00f6z<\/p>\n<p>CVE-2016-1182<br \/>\n3VE-2016-1182<br \/>\n\u2014<br \/>\nMagas<br \/>\nIGAZ<\/p>\n<p>\u2014<br \/>\n\u2014<br \/>\nCVE-2011-5057<br \/>\nK\u00f6zepes<br \/>\nHAMIS<br \/>\nSebezhet\u0151s\u00e9g a Struts 2-h\u00f6z<\/p>\n<p>\u2014<br \/>\nCVE-2012-0392 (OSSINDEX)<br \/>\nCVE-2012-0392<br \/>\nMagas<br \/>\nHAMIS<br \/>\nSebezhet\u0151s\u00e9g a Struts 2-h\u00f6z<\/p>\n<p>\u2014<br \/>\nCVE-2012-0393 (OSSINDEX)<br \/>\nCVE-2012-0393<br \/>\nK\u00f6zepes<br \/>\nHAMIS<br \/>\nSebezhet\u0151s\u00e9g a Struts 2-h\u00f6z<\/p>\n<p>CVE-2015-0899<br \/>\nCVE-2015-0899<br \/>\n\u2014<br \/>\nMagas<br \/>\nIGAZ<\/p>\n<p>\u2014<br \/>\nCVE-2012-0394<br \/>\nCVE-2012-0394<br \/>\nK\u00f6zepes<br \/>\nHAMIS<br \/>\nSebezhet\u0151s\u00e9g a Struts 2-h\u00f6z<\/p>\n<p>\u2014<br \/>\nCVE-2012-0838 (OSSINDEX)<br \/>\nCVE-2012-0838<br \/>\nMagas<br \/>\nHAMIS<br \/>\nSebezhet\u0151s\u00e9g a Struts 2-h\u00f6z<\/p>\n<p>\u2014<br \/>\nCVE-2013-1965 (OSSINDEX)<br \/>\nCVE-2013-1965<br \/>\nMagas<br \/>\nHAMIS<br \/>\nSebezhet\u0151s\u00e9g a Struts 2-h\u00f6z<\/p>\n<p>\u2014<br \/>\nCVE-2013-1966 (OSSINDEX)<br \/>\nCVE-2013-1966<br \/>\nMagas<br \/>\nHAMIS<br \/>\nSebezhet\u0151s\u00e9g a Struts 2-h\u00f6z<\/p>\n<p>\u2014<br \/>\nCVE-2013-2115<br \/>\nCVE-2013-2115<br \/>\nMagas<br \/>\nHAMIS<br \/>\nSebezhet\u0151s\u00e9g a Struts 2-h\u00f6z<\/p>\n<p>\u2014<br \/>\nCVE-2013-2134 (OSSINDEX)<br \/>\nCVE-2013-2134<br \/>\nMagas<br \/>\nHAMIS<br \/>\nSebezhet\u0151s\u00e9g a Struts 2-h\u00f6z<\/p>\n<p>\u2014<br \/>\nCVE-2013-2135 (OSSINDEX)<br \/>\nCVE-2013-2135<br \/>\nMagas<br \/>\nHAMIS<br \/>\nSebezhet\u0151s\u00e9g a Struts 2-h\u00f6z<\/p>\n<p>CVE-2014-0114<br \/>\nCVE-2014-0114<br \/>\n\u2014<br \/>\nMagas<br \/>\nIGAZ<\/p>\n<p>\u2014<br \/>\nCVE-2015-2992<br \/>\nCVE-2015-2992<br \/>\nK\u00f6zepes<br \/>\nHAMIS<br \/>\nSebezhet\u0151s\u00e9g a Struts 2-h\u00f6z<\/p>\n<p>\u2014<br \/>\nCVE-2016-0785 (OSSINDEX)<br \/>\nCVE-2016-0785<br \/>\nMagas<br \/>\nHAMIS<br \/>\nSebezhet\u0151s\u00e9g a Struts 2-h\u00f6z<\/p>\n<p>CVE-2016-1181<br \/>\nCVE-2016-1181<br \/>\n\u2014<br \/>\nMagas<br \/>\nIGAZ<\/p>\n<p>\u2014<br \/>\nCVE-2016-4003 (OSSINDEX)<br \/>\nCVE-2016-4003<br \/>\nMagas<br \/>\nHAMIS<br \/>\nSebezhet\u0151s\u00e9g a Struts 2-h\u00f6z<\/p>\n<p>xwork-core:2.3.30<br \/>\nCVE-2017-9804<br \/>\n\u2014<br \/>\n\u2014<br \/>\nMagas<br \/>\nIGAZ<\/p>\n<p>SONATYPE-2017-0173<br \/>\n\u2014<br \/>\n\u2014<br \/>\nMagas<br \/>\nIGAZ<\/p>\n<p>CVE-2017-7672<br \/>\n\u2014<br \/>\n\u2014<br \/>\nMagas<br \/>\nHAMIS<br \/>\nDupla k CVE-2017-9804<\/p>\n<p>SONATYPE-2016-0127<br \/>\n\u2014<br \/>\n\u2014<br \/>\nMagas<br \/>\nIGAZ<\/p>\n<p>struts2-core:2.3.30<br \/>\n\u2014<br \/>\nCVE-2016-6795<br \/>\nCVE-2016-6795<br \/>\nMagas<br \/>\nIGAZ<\/p>\n<p>\u2014<br \/>\nCVE-2017-9787<br \/>\nCVE-2017-9787<br \/>\nMagas<br \/>\nIGAZ<\/p>\n<p>\u2014<br \/>\nCVE-2017-9791<br \/>\nCVE-2017-9791<br \/>\nMagas<br \/>\nIGAZ<\/p>\n<p>\u2014<br \/>\nCVE-2017-9793<br \/>\n\u2014<br \/>\nMagas<br \/>\nHAMIS<br \/>\nDuplik\u00e1t k CVE-2018-1327<\/p>\n<p>\u2014<br \/>\nCVE-2017-9804<br \/>\n\u2014<br \/>\nMagas<br \/>\nIGAZ<\/p>\n<p>\u2014<br \/>\nCVE-2017-9805<br \/>\nCVE-2017-9805<br \/>\nMagas<br \/>\nIGAZ<\/p>\n<p>CVE-2016-4003<br \/>\n\u2014<br \/>\n\u2014<br \/>\nK\u00f6zepes<br \/>\nHAMIS<br \/>\nAlkalmazhat\u00f3 az Apache Struts 2.x 2.3.28-ig, m\u00edg a verzi\u00f3 2.3.30. Mindazon\u00e1ltal, a le\u00edr\u00e1s alapj\u00e1n a CVE b\u00e1rmely Struts 2 verzi\u00f3ra \u00e9rv\u00e9nyes, ha JRE 1.7 vagy ann\u00e1l r\u00e9gebbit haszn\u00e1lnak. \u00dagy t\u0171nik, hogy itt pr\u00f3b\u00e1lt\u00e1k biztos\u00edtani magukat, de ink\u00e1bb \u00fagy t\u0171nik, hogy FALSE.<\/p>\n<p>\u2014<br \/>\nCVE-2018-1327<br \/>\nCVE-2018-1327<br \/>\nMagas<br \/>\nIGAZ<\/p>\n<p>CVE-2017-5638<br \/>\nCVE-2017-5638<br \/>\nCVE-2017-5638<br \/>\nMagas<br \/>\nIGAZ<br \/>\nEz a sebezhet\u0151s\u00e9g, amelyet a hackerek kihaszn\u00e1ltak az Equifaxn\u00e1l 2017-ben.<\/p>\n<p>CVE-2017-12611<br \/>\nCVE-2017-12611<br \/>\n\u2014<br \/>\nMagas<br \/>\nIGAZ<\/p>\n<p>CVE-2018-11776<br \/>\nCVE-2018-11776<br \/>\nCVE-2018-11776<br \/>\nMagas<br \/>\nIGAZ<\/p>\n<p>struts-taglib: 1.3.8<br \/>\n\u2014<br \/>\nCVE-2012-0394<br \/>\n\u2014<br \/>\nK\u00f6zepes<br \/>\nHAMIS<br \/>\nA struts2-core-hoz.<\/p>\n<p>\u2014<br \/>\nCVE-2013-2115<br \/>\n\u2014<br \/>\nMagas<br \/>\nHAMIS<br \/>\nA struts2-core-hoz.<\/p>\n<p>\u2014<br \/>\nCVE-2014-0114<br \/>\n\u2014<br \/>\nMagas<br \/>\nHAMIS<br \/>\nA commons-beanutils-hoz.<\/p>\n<p>\u2014<br \/>\nCVE-2015-0899<br \/>\n\u2014<br \/>\nMagas<br \/>\nHAMIS<br \/>\nNem vonatkozik a taglib-re.<\/p>\n<p>\u2014<br \/>\nCVE-2015-2992<br \/>\n\u2014<br \/>\nK\u00f6zepes<br \/>\nHAMIS<br \/>\nA struts2-core-hoz tartozik.<\/p>\n<p>\u2014<br \/>\nCVE-2016-1181<br \/>\n\u2014<br \/>\nMagas<br \/>\nHAMIS<br \/>\nNem vonatkozik a taglib-re.<\/p>\n<p>\u2014<br \/>\nCVE-2016-1182<br \/>\n\u2014<br \/>\nMagas<br \/>\nHAMIS<br \/>\nNem vonatkozik a taglib-re.<\/p>\n<p>struts-tiles-1.3.8<br \/>\n\u2014<br \/>\nCVE-2012-0394<br \/>\n\u2014<br \/>\nK\u00f6zepes<br \/>\nHAMIS<br \/>\nA struts2-core-hoz.<\/p>\n<p>\u2014<br \/>\nCVE-2013-2115<br \/>\n\u2014<br \/>\nMagas<br \/>\nHAMIS<br \/>\nA struts2-core-hoz.<\/p>\n<p>\u2014<br \/>\nCVE-2014-0114<br \/>\n\u2014<br \/>\nMagas<br \/>\nHAMIS<br \/>\nA commons-beanutils alatt.<\/p>\n<p>\u2014<br \/>\nCVE-2015-0899<br \/>\n\u2014<br \/>\nMagas<br \/>\nHAMIS<br \/>\nNem vonatkozik a tiles-ra.<\/p>\n<p>\u2014<br \/>\nCVE-2015-2992<br \/>\n\u2014<br \/>\nK\u00f6zepes<br \/>\nHAMIS<br \/>\nA struts2-core-hoz.<\/p>\n<p>\u2014<br \/>\nCVE-2016-1181<br \/>\n\u2014<br \/>\nMagas<br \/>\nHAMIS<br \/>\nNem vonatkozik a taglib-re.<\/p>\n<p>\u2014<br \/>\nCVE-2016-1182<br \/>\n\u2014<br \/>\nMagas<br \/>\nHAMIS<br \/>\nNem vonatkozik a taglib-re.<\/p>\n<p>Forr\u00e1s: <a content=\"nofollow\" rel=\"nofollow\" href=\"https:\/\/habr.com\/ru\/post\/516660\/\">habr.com<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"<p>\u0417\u043d\u0430\u0447\u0438\u043c\u043e\u0441\u0442\u044c \u0430\u043d\u0430\u043b\u0438\u0437\u0430 \u0441\u0442\u043e\u0440\u043e\u043d\u043d\u0438\u0445 \u043a\u043e\u043c\u043f\u043e\u043d\u0435\u043d\u0442\u043e\u0432 \u041f\u041e (\u0430\u043d\u0433\u043b. Software Composition Analysis \u2014 SCA) \u0432 \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u0435 \u0440\u0430\u0437\u0440\u0430\u0431\u043e\u0442\u043a\u0438 \u0440\u0430\u0441\u0442\u0435\u0442 \u043f\u043e \u043c\u0435\u0440\u0435 \u0432\u044b\u0445\u043e\u0434\u0430 \u0435\u0436\u0435\u0433\u043e\u0434\u043d\u044b\u0445 \u043e\u0442\u0447\u0435\u0442\u043e\u0432 \u043e\u0431 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044f\u0445 open source \u0431\u0438\u0431\u043b\u0438\u043e\u0442\u0435\u043a, \u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u043f\u0443\u0431\u043b\u0438\u043a\u0443\u044e\u0442\u0441\u044f \u043a\u043e\u043c\u043f\u0430\u043d\u0438\u044f\u043c\u0438 Synopsys, Sonatype, Snyk, White Source. \u0421\u043e\u0433\u043b\u0430\u0441\u043d\u043e \u043e\u0442\u0447\u0435\u0442\u0443 The State of Open Source Security Vulnerabilities 2020 \u0447\u0438\u0441\u043b\u043e \u0432\u044b\u044f\u0432\u043b\u0435\u043d\u043d\u044b\u0445 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0435\u0439 \u0432 open source \u0432 2019 \u0432\u044b\u0440\u043e\u0441\u043b\u043e \u043f\u043e\u0447\u0442\u0438 \u0432 1.5 [&hellip;]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":92520,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[688],"tags":[],"class_list":["post-92519","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-administrirovanie"],"aioseo_notices":[],"aioseo_head":"\n\t\t<!-- All in One SEO 5.0.3 - aioseo.com -->\n\t<meta name=\"description\" content=\"\u0417\u043d\u0430\u0447\u0438\u043c\u043e\u0441\u0442\u044c \u0430\u043d\u0430\u043b\u0438\u0437\u0430 \u0441\u0442\u043e\u0440\u043e\u043d\u043d\u0438\u0445 \u043a\u043e\u043c\u043f\u043e\u043d\u0435\u043d\u0442\u043e\u0432 \u041f\u041e (\u0430\u043d\u0433\u043b.\" \/>\n\t<meta name=\"robots\" content=\"max-image-preview:large\" \/>\n\t<meta name=\"author\" content=\"Yuri Gagarin\"\/>\n\t<link rel=\"canonical\" href=\"https:\/\/prohoster.info\/hu\/blog\/administrirovanie\/devsecops-princzipy-raboty-i-sravnenie-sca-chast-pervaya\" \/>\n\t\t<meta name=\"generator\" content=\"All in One SEO (AIOSEO) 5.0.3\" \/>\n\t\t<meta property=\"og:locale\" content=\"hu_HU\" \/>\n\t\t<meta property=\"og:site_name\" content=\"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b\" \/>\n\t\t<meta property=\"og:type\" content=\"article\" \/>\n\t\t<meta property=\"og:title\" content=\"\ud83e\udd47DevSecOps: \u043f\u0440\u0438\u043d\u0446\u0438\u043f\u044b \u0440\u0430\u0431\u043e\u0442\u044b \u0438 \u0441\u0440\u0430\u0432\u043d\u0435\u043d\u0438\u0435 SCA. \u0427\u0430\u0441\u0442\u044c \u043f\u0435\u0440\u0432\u0430\u044f | ProHoster\" \/>\n\t\t<meta property=\"og:description\" content=\"\u0417\u043d\u0430\u0447\u0438\u043c\u043e\u0441\u0442\u044c \u0430\u043d\u0430\u043b\u0438\u0437\u0430 \u0441\u0442\u043e\u0440\u043e\u043d\u043d\u0438\u0445 \u043a\u043e\u043c\u043f\u043e\u043d\u0435\u043d\u0442\u043e\u0432 \u041f\u041e (\u0430\u043d\u0433\u043b.\" \/>\n\t\t<meta property=\"og:url\" content=\"https:\/\/prohoster.info\/hu\/blog\/administrirovanie\/devsecops-princzipy-raboty-i-sravnenie-sca-chast-pervaya\" \/>\n\t\t<meta property=\"og:image\" content=\"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg\" \/>\n\t\t<meta property=\"og:image:secure_url\" content=\"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg\" \/>\n\t\t<meta property=\"og:image:width\" content=\"350\" \/>\n\t\t<meta property=\"og:image:height\" content=\"350\" \/>\n\t\t<meta property=\"article:published_time\" content=\"2020-08-28T05:42:26+00:00\" \/>\n\t\t<meta property=\"article:modified_time\" content=\"2020-08-28T05:42:26+00:00\" \/>\n\t\t<meta property=\"article:publisher\" content=\"https:\/\/www.facebook.com\/prohoster\" \/>\n\t\t<meta property=\"article:author\" content=\"https:\/\/www.facebook.com\/prohoster\" \/>\n\t\t<!-- All in One SEO -->\n\n","aioseo_head_json":{"title":"\ud83e\udd47DevSecOps: a m\u0171k\u00f6d\u00e9s elvei \u00e9s az SCA \u00f6sszehasonl\u00edt\u00e1sa. Els\u0151 r\u00e9sz | ProHoster","description":"A harmadik f\u00e9lt\u0151l sz\u00e1rmaz\u00f3 szoftverelemek elemz\u00e9s\u00e9nek jelent\u0151s\u00e9ge (angol.","canonical_url":"https:\/\/prohoster.info\/hu\/blog\/administrirovanie\/devsecops-princzipy-raboty-i-sravnenie-sca-chast-pervaya","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"hu_HU","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47DevSecOps: \u043f\u0440\u0438\u043d\u0446\u0438\u043f\u044b \u0440\u0430\u0431\u043e\u0442\u044b \u0438 \u0441\u0440\u0430\u0432\u043d\u0435\u043d\u0438\u0435 SCA. \u0427\u0430\u0441\u0442\u044c \u043f\u0435\u0440\u0432\u0430\u044f | ProHoster","og:description":"\u0417\u043d\u0430\u0447\u0438\u043c\u043e\u0441\u0442\u044c \u0430\u043d\u0430\u043b\u0438\u0437\u0430 \u0441\u0442\u043e\u0440\u043e\u043d\u043d\u0438\u0445 \u043a\u043e\u043c\u043f\u043e\u043d\u0435\u043d\u0442\u043e\u0432 \u041f\u041e (\u0430\u043d\u0433\u043b.","og:url":"https:\/\/prohoster.info\/hu\/blog\/administrirovanie\/devsecops-princzipy-raboty-i-sravnenie-sca-chast-pervaya","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2020-08-28T05:42:26+00:00","article:modified_time":"2020-08-28T05:42:26+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"92519","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":null,"breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-02-28 12:06:40","updated":"2022-10-01 01:38:08","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/hu\/wp-json\/wp\/v2\/posts\/92519","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/hu\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/hu\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/hu\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/hu\/wp-json\/wp\/v2\/comments?post=92519"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/hu\/wp-json\/wp\/v2\/posts\/92519\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/prohoster.info\/hu\/wp-json\/wp\/v2\/media\/92520"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/hu\/wp-json\/wp\/v2\/media?parent=92519"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/hu\/wp-json\/wp\/v2\/categories?post=92519"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/hu\/wp-json\/wp\/v2\/tags?post=92519"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}