DevSecOps: ਸੰਚਾਲਨ ਦੇ ਸਿਧਾਂਤ ਅਤੇ SCA ਦੀ ਤੁਲਨਾ। ਭਾਗ ਇੱਕ

ਵਿਕਾਸ ਪ੍ਰਕਿਰਿਆ ਵਿੱਚ ਤੀਜੀ-ਧਿਰ ਦੇ ਸੌਫਟਵੇਅਰ ਭਾਗਾਂ (ਸਾਫਟਵੇਅਰ ਕੰਪੋਜੀਸ਼ਨ ਵਿਸ਼ਲੇਸ਼ਣ - SCA) ਦੇ ਵਿਸ਼ਲੇਸ਼ਣ ਦੀ ਮਹੱਤਤਾ ਓਪਨ ਸੋਰਸ ਲਾਇਬ੍ਰੇਰੀਆਂ ਦੀਆਂ ਕਮਜ਼ੋਰੀਆਂ 'ਤੇ ਸਾਲਾਨਾ ਰਿਪੋਰਟਾਂ ਦੇ ਜਾਰੀ ਹੋਣ ਨਾਲ ਵਧ ਰਹੀ ਹੈ, ਜੋ ਕਿ Synopsys, Sonatype, Snyk, ਅਤੇ White Source ਦੁਆਰਾ ਪ੍ਰਕਾਸ਼ਿਤ ਕੀਤੀਆਂ ਗਈਆਂ ਹਨ। . ਰਿਪੋਰਟ ਦੇ ਅਨੁਸਾਰ ਓਪਨ ਸੋਰਸ ਸੁਰੱਖਿਆ ਕਮਜ਼ੋਰੀ 2020 ਦੀ ਸਥਿਤੀ 2019 ਵਿੱਚ ਪਛਾਣੀਆਂ ਗਈਆਂ ਓਪਨ ਸੋਰਸ ਕਮਜ਼ੋਰੀਆਂ ਦੀ ਗਿਣਤੀ ਪਿਛਲੇ ਸਾਲ ਦੇ ਮੁਕਾਬਲੇ ਲਗਭਗ 1.5 ਗੁਣਾ ਵਧੀ ਹੈ, ਜਦੋਂ ਕਿ ਓਪਨ ਸੋਰਸ ਕੰਪੋਨੈਂਟਸ 60% ਤੋਂ 80% ਪ੍ਰੋਜੈਕਟਾਂ ਦੁਆਰਾ ਵਰਤੇ ਜਾਂਦੇ ਹਨ। ਇੱਕ ਸੁਤੰਤਰ ਆਧਾਰ 'ਤੇ, SCA ਪ੍ਰਕਿਰਿਆਵਾਂ ਪਰਿਪੱਕਤਾ ਦੇ ਸੂਚਕ ਵਜੋਂ OWASP SAMM ਅਤੇ BSIMM ਦਾ ਇੱਕ ਵੱਖਰਾ ਅਭਿਆਸ ਹੈ, ਅਤੇ 2020 ਦੇ ਪਹਿਲੇ ਅੱਧ ਵਿੱਚ, OWASP ਨੇ ਨਵਾਂ OWASP ਸਾਫਟਵੇਅਰ ਕੰਪੋਨੈਂਟ ਵੈਰੀਫਿਕੇਸ਼ਨ ਸਟੈਂਡਰਡ (SCVS) ਜਾਰੀ ਕੀਤਾ, ਜੋ ਤੀਜੇ ਦੀ ਪੁਸ਼ਟੀ ਕਰਨ ਲਈ ਸਭ ਤੋਂ ਵਧੀਆ ਅਭਿਆਸ ਪ੍ਰਦਾਨ ਕਰਦਾ ਹੈ- ਸਪਲਾਈ ਚੇਨ BY ਵਿੱਚ ਪਾਰਟੀ ਦੇ ਹਿੱਸੇ।

ਸਭ ਤੋਂ ਵੱਧ ਦ੍ਰਿਸ਼ਟਾਂਤ ਵਾਲੇ ਕੇਸਾਂ ਵਿੱਚੋਂ ਇੱਕ ਹੋਇਆ ਮਈ 2017 ਵਿੱਚ Equifax ਦੇ ਨਾਲ। ਅਣਪਛਾਤੇ ਹਮਲਾਵਰਾਂ ਨੇ 143 ਮਿਲੀਅਨ ਅਮਰੀਕੀਆਂ ਬਾਰੇ ਜਾਣਕਾਰੀ ਪ੍ਰਾਪਤ ਕੀਤੀ, ਜਿਸ ਵਿੱਚ ਪੂਰੇ ਨਾਮ, ਪਤੇ, ਸਮਾਜਿਕ ਸੁਰੱਖਿਆ ਨੰਬਰ ਅਤੇ ਡਰਾਈਵਰ ਲਾਇਸੰਸ ਸ਼ਾਮਲ ਹਨ। 209 ਮਾਮਲਿਆਂ ਵਿੱਚ, ਦਸਤਾਵੇਜ਼ਾਂ ਵਿੱਚ ਪੀੜਤਾਂ ਦੇ ਬੈਂਕ ਕਾਰਡਾਂ ਬਾਰੇ ਵੀ ਜਾਣਕਾਰੀ ਸ਼ਾਮਲ ਸੀ। ਇਹ ਲੀਕ Apache Struts 000 (CVE-2-2017) ਵਿੱਚ ਇੱਕ ਨਾਜ਼ੁਕ ਕਮਜ਼ੋਰੀ ਦੇ ਸ਼ੋਸ਼ਣ ਦੇ ਨਤੀਜੇ ਵਜੋਂ ਹੋਇਆ ਹੈ, ਜਦੋਂ ਕਿ ਫਿਕਸ ਮਾਰਚ 5638 ਵਿੱਚ ਵਾਪਸ ਜਾਰੀ ਕੀਤਾ ਗਿਆ ਸੀ। ਕੰਪਨੀ ਦੇ ਕੋਲ ਅਪਡੇਟ ਨੂੰ ਇੰਸਟਾਲ ਕਰਨ ਲਈ ਦੋ ਮਹੀਨੇ ਸਨ, ਪਰ ਕਿਸੇ ਨੇ ਇਸ ਦੀ ਪਰਵਾਹ ਨਹੀਂ ਕੀਤੀ।

ਇਹ ਲੇਖ ਵਿਸ਼ਲੇਸ਼ਣ ਨਤੀਜਿਆਂ ਦੀ ਗੁਣਵੱਤਾ ਦੇ ਦ੍ਰਿਸ਼ਟੀਕੋਣ ਤੋਂ SCA ਸੰਚਾਲਨ ਲਈ ਇੱਕ ਸਾਧਨ ਚੁਣਨ ਦੇ ਮੁੱਦੇ 'ਤੇ ਚਰਚਾ ਕਰੇਗਾ. ਟੂਲਸ ਦੀ ਇੱਕ ਕਾਰਜਾਤਮਕ ਤੁਲਨਾ ਵੀ ਪ੍ਰਦਾਨ ਕੀਤੀ ਜਾਵੇਗੀ। CI/CD ਵਿੱਚ ਏਕੀਕ੍ਰਿਤ ਕਰਨ ਦੀ ਪ੍ਰਕਿਰਿਆ ਅਤੇ ਏਕੀਕਰਣ ਸਮਰੱਥਾਵਾਂ ਨੂੰ ਅਗਲੇ ਪ੍ਰਕਾਸ਼ਨਾਂ ਲਈ ਛੱਡ ਦਿੱਤਾ ਜਾਵੇਗਾ। OWASP ਦੁਆਰਾ ਔਜ਼ਾਰਾਂ ਦੀ ਇੱਕ ਵਿਸ਼ਾਲ ਸ਼੍ਰੇਣੀ ਪੇਸ਼ ਕੀਤੀ ਗਈ ਸੀ ਤੁਹਾਡੀ ਵੈਬਸਾਈਟ 'ਤੇ, ਪਰ ਮੌਜੂਦਾ ਸਮੀਖਿਆ ਵਿੱਚ ਅਸੀਂ ਸਿਰਫ ਸਭ ਤੋਂ ਪ੍ਰਸਿੱਧ ਓਪਨ ਸੋਰਸ ਟੂਲ ਡਿਪੈਂਡੈਂਸੀ ਚੈਕ, ਥੋੜ੍ਹਾ ਘੱਟ ਜਾਣਿਆ-ਪਛਾਣਿਆ ਓਪਨ ਸੋਰਸ ਪਲੇਟਫਾਰਮ ਡਿਪੈਂਡੈਂਸੀ ਟ੍ਰੈਕ ਅਤੇ ਐਂਟਰਪ੍ਰਾਈਜ਼ ਸੋਲਿਊਸ਼ਨ ਸੋਨਾਟਾਈਪ ਨੈਕਸਸ ਆਈਕਿਊ ਨੂੰ ਛੂਹਾਂਗੇ। ਅਸੀਂ ਇਹ ਵੀ ਸਮਝਾਂਗੇ ਕਿ ਇਹ ਹੱਲ ਕਿਵੇਂ ਕੰਮ ਕਰਦੇ ਹਨ ਅਤੇ ਝੂਠੇ ਸਕਾਰਾਤਮਕ ਲਈ ਪ੍ਰਾਪਤ ਨਤੀਜਿਆਂ ਦੀ ਤੁਲਨਾ ਕਰਦੇ ਹਨ।

ਇਸ ਦਾ ਕੰਮ ਕਰਦਾ ਹੈ

ਨਿਰਭਰਤਾ ਜਾਂਚ ਇੱਕ ਉਪਯੋਗਤਾ (CLI, maven, jenkins module, ant) ​​ਹੈ ਜੋ ਪ੍ਰੋਜੈਕਟ ਫਾਈਲਾਂ ਦਾ ਵਿਸ਼ਲੇਸ਼ਣ ਕਰਦੀ ਹੈ, ਨਿਰਭਰਤਾ (ਪੈਕੇਜ ਦਾ ਨਾਮ, ਗਰੁੱਪਿਡ, ਨਿਰਧਾਰਨ ਸਿਰਲੇਖ, ਸੰਸਕਰਣ...) ਬਾਰੇ ਜਾਣਕਾਰੀ ਦੇ ਟੁਕੜਿਆਂ ਨੂੰ ਇਕੱਠਾ ਕਰਦੀ ਹੈ, ਇੱਕ CPE (ਕਾਮਨ ਪਲੇਟਫਾਰਮ ਗਣਨਾ) ਲਾਈਨ ਬਣਾਉਂਦੀ ਹੈ। , ਪੈਕੇਜ URL (PURL) ਅਤੇ ਡੇਟਾਬੇਸ (NVD, Sonatype OSS ਇੰਡੈਕਸ, NPM ਆਡਿਟ API...) ਤੋਂ CPE/PURL ਲਈ ਕਮਜ਼ੋਰੀਆਂ ਦੀ ਪਛਾਣ ਕਰਦਾ ਹੈ, ਜਿਸ ਤੋਂ ਬਾਅਦ ਇਹ HTML, JSON, XML ਫਾਰਮੈਟ ਵਿੱਚ ਇੱਕ-ਵਾਰ ਰਿਪੋਰਟ ਬਣਾਉਂਦਾ ਹੈ...

ਆਓ ਦੇਖੀਏ ਕਿ CPE ਕਿਹੋ ਜਿਹਾ ਦਿਖਾਈ ਦਿੰਦਾ ਹੈ:

cpe:2.3:part:vendor:product:version:update:edition:language:sw_edition:target_sw:target_hw:other

• ਭਾਗ: ਸੰਕੇਤ ਕਿ ਕੰਪੋਨੈਂਟ ਐਪਲੀਕੇਸ਼ਨ (ਏ), ਓਪਰੇਟਿੰਗ ਸਿਸਟਮ (ਓ), ਹਾਰਡਵੇਅਰ (ਐਚ) (ਲੋੜੀਂਦਾ) ਨਾਲ ਸਬੰਧਤ ਹੈ
• ਵਿਕਰੇਤਾ: ਉਤਪਾਦ ਨਿਰਮਾਤਾ ਦਾ ਨਾਮ (ਲੋੜੀਂਦਾ)
• ਉਤਪਾਦ: ਉਤਪਾਦ ਦਾ ਨਾਮ (ਲੋੜੀਂਦਾ)
• ਵਰਜਨ: ਕੰਪੋਨੈਂਟ ਸੰਸਕਰਣ (ਅਪ੍ਰਚਲਿਤ ਆਈਟਮ)
• ਅੱਪਡੇਟ: ਪੈਕੇਜ ਅੱਪਡੇਟ
• ਐਡੀਸ਼ਨ: ਪੁਰਾਤਨ ਸੰਸਕਰਣ (ਨਾਪਸੰਦ ਆਈਟਮ)
• ਭਾਸ਼ਾ: RFC-5646 ਵਿੱਚ ਪਰਿਭਾਸ਼ਿਤ ਭਾਸ਼ਾ
• SW ਐਡੀਸ਼ਨ: ਸਾਫਟਵੇਅਰ ਵਰਜਨ
• ਟੀਚਾ SW: ਸਾਫਟਵੇਅਰ ਵਾਤਾਵਰਨ ਜਿਸ ਵਿੱਚ ਉਤਪਾਦ ਕੰਮ ਕਰਦਾ ਹੈ
• ਟੀਚਾ HW: ਹਾਰਡਵੇਅਰ ਵਾਤਾਵਰਨ ਜਿਸ ਵਿੱਚ ਉਤਪਾਦ ਕੰਮ ਕਰਦਾ ਹੈ
• ਹੋਰ: ਸਪਲਾਇਰ ਜਾਂ ਉਤਪਾਦ ਜਾਣਕਾਰੀ

ਇੱਕ ਉਦਾਹਰਨ CPE ਇਸ ਤਰ੍ਹਾਂ ਦਿਖਦਾ ਹੈ:

cpe:2.3:a:pivotal_software:spring_framework:3.0.0:*:*:*:*:*:*:*

ਲਾਈਨ ਦਾ ਮਤਲਬ ਹੈ ਕਿ CPE ਸੰਸਕਰਣ 2.3 ਨਿਰਮਾਤਾ ਤੋਂ ਐਪਲੀਕੇਸ਼ਨ ਕੰਪੋਨੈਂਟ ਦਾ ਵਰਣਨ ਕਰਦਾ ਹੈ pivotal_software ਸਿਰਲੇਖ ਦੇ ਨਾਲ spring_framework ਸੰਸਕਰਣ 3.0.0। ਜੇ ਅਸੀਂ ਇੱਕ ਕਮਜ਼ੋਰੀ ਨੂੰ ਖੋਲ੍ਹਦੇ ਹਾਂ CVE-2014-0225 NVD ਵਿੱਚ, ਅਸੀਂ ਇਸ CPE ਦਾ ਜ਼ਿਕਰ ਦੇਖ ਸਕਦੇ ਹਾਂ। ਪਹਿਲੀ ਸਮੱਸਿਆ ਜਿਸ 'ਤੇ ਤੁਹਾਨੂੰ ਤੁਰੰਤ ਧਿਆਨ ਦੇਣਾ ਚਾਹੀਦਾ ਹੈ ਉਹ ਹੈ ਕਿ NVD ਵਿੱਚ CVE, CPE ਦੇ ਅਨੁਸਾਰ, ਫਰੇਮਵਰਕ ਵਿੱਚ ਇੱਕ ਸਮੱਸਿਆ ਦੀ ਰਿਪੋਰਟ ਕਰਦਾ ਹੈ, ਨਾ ਕਿ ਕਿਸੇ ਖਾਸ ਹਿੱਸੇ ਵਿੱਚ। ਭਾਵ, ਜੇਕਰ ਡਿਵੈਲਪਰਾਂ ਨੂੰ ਫਰੇਮਵਰਕ ਨਾਲ ਮਜ਼ਬੂਤੀ ਨਾਲ ਬੰਨ੍ਹਿਆ ਹੋਇਆ ਹੈ, ਅਤੇ ਪਛਾਣੀ ਗਈ ਕਮਜ਼ੋਰੀ ਉਹਨਾਂ ਮਾਡਿਊਲਾਂ ਨੂੰ ਪ੍ਰਭਾਵਤ ਨਹੀਂ ਕਰਦੀ ਹੈ ਜੋ ਡਿਵੈਲਪਰ ਵਰਤਦੇ ਹਨ, ਤਾਂ ਇੱਕ ਸੁਰੱਖਿਆ ਮਾਹਰ ਨੂੰ ਇੱਕ ਜਾਂ ਦੂਜੇ ਤਰੀਕੇ ਨਾਲ ਇਸ CVE ਨੂੰ ਵੱਖ ਕਰਨਾ ਪਵੇਗਾ ਅਤੇ ਅੱਪਡੇਟ ਕਰਨ ਬਾਰੇ ਸੋਚਣਾ ਪਵੇਗਾ।

URL ਨੂੰ SCA ਟੂਲਸ ਦੁਆਰਾ ਵੀ ਵਰਤਿਆ ਜਾਂਦਾ ਹੈ। ਪੈਕੇਜ URL ਫਾਰਮੈਟ ਇਸ ਤਰ੍ਹਾਂ ਹੈ:

scheme:type/namespace/name@version?qualifiers#subpath

• ਸਕੀਮ: ਹਮੇਸ਼ਾ 'pkg' ਹੋਵੇਗਾ ਜੋ ਇਹ ਦਰਸਾਉਂਦਾ ਹੈ ਕਿ ਇਹ ਇੱਕ ਪੈਕੇਜ URL ਹੈ (ਲੋੜੀਂਦਾ)
• ਕਿਸਮ: ਪੈਕੇਜ ਦੀ "ਕਿਸਮ" ਜਾਂ ਪੈਕੇਜ ਦਾ "ਪ੍ਰੋਟੋਕੋਲ", ਜਿਵੇਂ ਕਿ ਮਾਵੇਨ, ਐਨਪੀਐਮ, ਨੂਗੇਟ, ਰਤਨ, ਪਾਈਪੀ, ਆਦਿ। (ਲੋੜੀਂਦਾ)
• ਨੇਮਸਪੇਸ: ਕੁਝ ਨਾਮ ਅਗੇਤਰ, ਜਿਵੇਂ ਕਿ ਇੱਕ Maven ਸਮੂਹ ID, Docker ਚਿੱਤਰ ਮਾਲਕ, GitHub ਉਪਭੋਗਤਾ, ਜਾਂ ਸੰਗਠਨ। ਵਿਕਲਪਿਕ ਅਤੇ ਕਿਸਮ 'ਤੇ ਨਿਰਭਰ ਕਰਦਾ ਹੈ।
• ਨਾਮ: ਪੈਕੇਜ ਦਾ ਨਾਮ (ਲੋੜੀਂਦਾ)
• ਵਰਜਨ: ਪੈਕੇਜ ਸੰਸਕਰਣ
• ਕੁਆਲੀਫਾਇਰ: ਪੈਕੇਜ ਲਈ ਵਾਧੂ ਯੋਗਤਾ ਡੇਟਾ, ਜਿਵੇਂ ਕਿ OS, ਆਰਕੀਟੈਕਚਰ, ਡਿਸਟ੍ਰੀਬਿਊਸ਼ਨ, ਆਦਿ। ਵਿਕਲਪਿਕ ਅਤੇ ਕਿਸਮ-ਵਿਸ਼ੇਸ਼।
• ਸਬਪਾਥ: ਪੈਕੇਜ ਰੂਟ ਨਾਲ ਸੰਬੰਧਿਤ ਪੈਕੇਜ ਵਿੱਚ ਵਾਧੂ ਮਾਰਗ

ਉਦਾਹਰਨ ਲਈ:

pkg:golang/google.golang.org/genproto#googleapis/api/annotations
pkg:maven/org.apache.commons/[email protected]
pkg:pypi/[email protected]

ਨਿਰਭਰਤਾ ਟਰੈਕ — ਇੱਕ ਆਨ-ਪ੍ਰੀਮਿਸ ਵੈੱਬ ਪਲੇਟਫਾਰਮ ਜੋ ਤਿਆਰ ਕੀਤੇ ਬਿਲ ਆਫ਼ ਮਟੀਰੀਅਲਜ਼ (BOM) ਨੂੰ ਸਵੀਕਾਰ ਕਰਦਾ ਹੈ ਚੱਕਰਵਾਤ ਡੀਐਕਸ и ਐਸ.ਪੀ.ਡੀ.ਐਕਸ, ਯਾਨੀ ਮੌਜੂਦਾ ਨਿਰਭਰਤਾਵਾਂ ਬਾਰੇ ਤਿਆਰ-ਬਣਾਈਆਂ ਵਿਸ਼ੇਸ਼ਤਾਵਾਂ। ਇਹ ਇੱਕ XML ਫਾਈਲ ਹੈ ਜੋ ਨਿਰਭਰਤਾ ਦਾ ਵਰਣਨ ਕਰਦੀ ਹੈ - ਨਾਮ, ਹੈਸ਼, ਪੈਕੇਜ url, ਪ੍ਰਕਾਸ਼ਕ, ਲਾਇਸੈਂਸ। ਅੱਗੇ, ਨਿਰਭਰਤਾ ਟਰੈਕ BOM ਨੂੰ ਪਾਰਸ ਕਰਦਾ ਹੈ, ਕਮਜ਼ੋਰੀ ਡੇਟਾਬੇਸ (NVD, Sonatype OSS Index...) ਤੋਂ ਪਛਾਣੀਆਂ ਗਈਆਂ ਨਿਰਭਰਤਾਵਾਂ ਲਈ ਉਪਲਬਧ CVEs ਨੂੰ ਦੇਖਦਾ ਹੈ, ਜਿਸ ਤੋਂ ਬਾਅਦ ਇਹ ਗ੍ਰਾਫ ਬਣਾਉਂਦਾ ਹੈ, ਮੈਟ੍ਰਿਕਸ ਦੀ ਗਣਨਾ ਕਰਦਾ ਹੈ, ਕੰਪੋਨੈਂਟਸ ਦੀ ਕਮਜ਼ੋਰੀ ਸਥਿਤੀ 'ਤੇ ਨਿਯਮਿਤ ਤੌਰ 'ਤੇ ਡਾਟਾ ਅੱਪਡੇਟ ਕਰਦਾ ਹੈ। .

ਇੱਕ BOM XML ਫਾਰਮੈਟ ਵਿੱਚ ਕਿਹੋ ਜਿਹਾ ਦਿਖਾਈ ਦੇ ਸਕਦਾ ਹੈ ਦੀ ਇੱਕ ਉਦਾਹਰਨ:

<?xml version="1.0" encoding="UTF-8"?>
<bom xmlns="http://cyclonedx.org/schema/bom/1.2" serialNumber="urn:uuid:3e671687-395b-41f5-a30f-a58921a69b79" version="1">
  <components>
    <component type="library">
      <publisher>Apache</publisher>
      <group>org.apache.tomcat</group>
      <name>tomcat-catalina</name>
      <version>9.0.14</version>
      <hashes>
        <hash alg="MD5">3942447fac867ae5cdb3229b658f4d48</hash>
        <hash alg="SHA-1">e6b1000b94e835ffd37f4c6dcbdad43f4b48a02a</hash>
        <hash alg="SHA-256">f498a8ff2dd007e29c2074f5e4b01a9a01775c3ff3aeaf6906ea503bc5791b7b</hash>
        <hash alg="SHA-512">e8f33e424f3f4ed6db76a482fde1a5298970e442c531729119e37991884bdffab4f9426b7ee11fccd074eeda0634d71697d6f88a460dce0ac8d627a29f7d1282</hash>
      </hashes>
      <licenses>
        <license>
          <id>Apache-2.0</id>
        </license>
      </licenses>
      <purl>pkg:maven/org.apache.tomcat/[email protected]</purl>
    </component>
      <!-- More components here -->
  </components>
</bom>

BOM ਦੀ ਵਰਤੋਂ ਨਾ ਸਿਰਫ਼ ਨਿਰਭਰਤਾ ਟ੍ਰੈਕ ਲਈ ਇਨਪੁਟ ਪੈਰਾਮੀਟਰਾਂ ਦੇ ਤੌਰ 'ਤੇ ਕੀਤੀ ਜਾ ਸਕਦੀ ਹੈ, ਸਗੋਂ ਸਪਲਾਈ ਚੇਨ ਵਿੱਚ ਸੌਫਟਵੇਅਰ ਭਾਗਾਂ ਦੀ ਸੂਚੀ ਬਣਾਉਣ ਲਈ ਵੀ ਵਰਤੀ ਜਾ ਸਕਦੀ ਹੈ, ਉਦਾਹਰਨ ਲਈ, ਗਾਹਕ ਨੂੰ ਸੌਫਟਵੇਅਰ ਪ੍ਰਦਾਨ ਕਰਨ ਲਈ। 2014 ਵਿੱਚ, ਸੰਯੁਕਤ ਰਾਜ ਵਿੱਚ ਇੱਕ ਕਾਨੂੰਨ ਵੀ ਪ੍ਰਸਤਾਵਿਤ ਕੀਤਾ ਗਿਆ ਸੀ "ਸਾਈਬਰ ਸਪਲਾਈ ਚੇਨ ਪ੍ਰਬੰਧਨ ਅਤੇ ਪਾਰਦਰਸ਼ਤਾ ਐਕਟ 2014", ਜਿਸ ਵਿੱਚ ਕਿਹਾ ਗਿਆ ਹੈ ਕਿ ਸੌਫਟਵੇਅਰ ਖਰੀਦਣ ਵੇਲੇ, ਕੋਈ ਵੀ ਰਾਜ. ਸੰਸਥਾ ਨੂੰ ਕਮਜ਼ੋਰ ਹਿੱਸਿਆਂ ਦੀ ਵਰਤੋਂ ਨੂੰ ਰੋਕਣ ਲਈ BOM ਨੂੰ ਬੇਨਤੀ ਕਰਨੀ ਚਾਹੀਦੀ ਹੈ, ਪਰ ਇਹ ਐਕਟ ਅਜੇ ਲਾਗੂ ਨਹੀਂ ਹੋਇਆ ਹੈ।

SCA 'ਤੇ ਵਾਪਸ ਆਉਣਾ, ਨਿਰਭਰਤਾ ਟ੍ਰੈਕ ਕੋਲ ਨੋਟੀਫਿਕੇਸ਼ਨ ਪਲੇਟਫਾਰਮਾਂ ਜਿਵੇਂ ਕਿ ਸਲੈਕ, ਕਮਜ਼ੋਰੀ ਪ੍ਰਬੰਧਨ ਪ੍ਰਣਾਲੀਆਂ ਜਿਵੇਂ ਕੇਨਾ ਸੁਰੱਖਿਆ ਨਾਲ ਤਿਆਰ-ਬਣਾਇਆ ਏਕੀਕਰਣ ਹੈ। ਇਹ ਵੀ ਕਹਿਣਾ ਯੋਗ ਹੈ ਕਿ ਨਿਰਭਰਤਾ ਟਰੈਕ, ਹੋਰ ਚੀਜ਼ਾਂ ਦੇ ਨਾਲ, ਪੈਕੇਜਾਂ ਦੇ ਪੁਰਾਣੇ ਸੰਸਕਰਣਾਂ ਦੀ ਪਛਾਣ ਕਰਦਾ ਹੈ ਅਤੇ ਲਾਇਸੈਂਸਾਂ ਬਾਰੇ ਜਾਣਕਾਰੀ ਪ੍ਰਦਾਨ ਕਰਦਾ ਹੈ (SPDX ਸਹਾਇਤਾ ਦੇ ਕਾਰਨ)।

ਜੇ ਅਸੀਂ ਵਿਸ਼ੇਸ਼ ਤੌਰ 'ਤੇ SCA ਦੀ ਗੁਣਵੱਤਾ ਬਾਰੇ ਗੱਲ ਕਰੀਏ, ਤਾਂ ਇੱਕ ਬੁਨਿਆਦੀ ਅੰਤਰ ਹੈ.

ਨਿਰਭਰਤਾ ਟ੍ਰੈਕ ਪ੍ਰੋਜੈਕਟ ਨੂੰ ਇਨਪੁਟ ਵਜੋਂ ਸਵੀਕਾਰ ਨਹੀਂ ਕਰਦਾ, ਸਗੋਂ ਬੀ.ਓ.ਐਮ. ਇਸਦਾ ਮਤਲਬ ਹੈ ਕਿ ਜੇਕਰ ਅਸੀਂ ਪ੍ਰੋਜੈਕਟ ਦੀ ਜਾਂਚ ਕਰਨਾ ਚਾਹੁੰਦੇ ਹਾਂ, ਤਾਂ ਸਾਨੂੰ ਪਹਿਲਾਂ bom.xml ਬਣਾਉਣ ਦੀ ਲੋੜ ਹੈ, ਉਦਾਹਰਨ ਲਈ CycloneDX ਦੀ ਵਰਤੋਂ ਕਰਨਾ। ਇਸ ਤਰ੍ਹਾਂ, ਨਿਰਭਰਤਾ ਟਰੈਕ ਸਿੱਧਾ CycloneDX 'ਤੇ ਨਿਰਭਰ ਹੈ। ਉਸੇ ਸਮੇਂ, ਇਹ ਅਨੁਕੂਲਿਤ ਕਰਨ ਦੀ ਆਗਿਆ ਦਿੰਦਾ ਹੈ. ਇਹ ਓਜ਼ੋਨ ਟੀਮ ਨੇ ਲਿਖਿਆ ਹੈ CycloneDX ਮੋਡੀਊਲ ਨਿਰਭਰਤਾ ਟਰੈਕ ਦੁਆਰਾ ਹੋਰ ਸਕੈਨਿੰਗ ਲਈ ਗੋਲੰਗ ਪ੍ਰੋਜੈਕਟਾਂ ਲਈ BOM ਫਾਈਲਾਂ ਨੂੰ ਇਕੱਠਾ ਕਰਨ ਲਈ।

Nexus IQ Sonatype ਦਾ ਇੱਕ ਵਪਾਰਕ SCA ਹੱਲ ਹੈ, ਜੋ Sonatype ਈਕੋਸਿਸਟਮ ਦਾ ਹਿੱਸਾ ਹੈ, ਜਿਸ ਵਿੱਚ Nexus ਰਿਪੋਜ਼ਟਰੀ ਮੈਨੇਜਰ ਵੀ ਸ਼ਾਮਲ ਹੈ। Nexus IQ ਵੈੱਬ ਇੰਟਰਫੇਸ ਜਾਂ API, ਅਤੇ BOM ਰਾਹੀਂ ਜੰਗੀ ਪੁਰਾਲੇਖਾਂ (ਜਾਵਾ ਪ੍ਰੋਜੈਕਟਾਂ ਲਈ) ਦੋਵੇਂ ਇਨਪੁਟ ਵਜੋਂ ਸਵੀਕਾਰ ਕਰ ਸਕਦਾ ਹੈ, ਜੇਕਰ ਤੁਹਾਡੀ ਸੰਸਥਾ ਨੇ ਅਜੇ ਤੱਕ CycloneDX ਤੋਂ ਨਵੇਂ ਹੱਲ 'ਤੇ ਸਵਿਚ ਨਹੀਂ ਕੀਤਾ ਹੈ। ਓਪਨ ਸੋਰਸ ਹੱਲਾਂ ਦੇ ਉਲਟ, IQ ਨਾ ਸਿਰਫ਼ ਪਛਾਣੇ ਗਏ ਹਿੱਸੇ ਅਤੇ ਡਾਟਾਬੇਸ ਵਿੱਚ ਸੰਬੰਧਿਤ ਕਮਜ਼ੋਰੀ ਲਈ CP/PURL ਦਾ ਹਵਾਲਾ ਦਿੰਦਾ ਹੈ, ਸਗੋਂ ਆਪਣੀ ਖੁਦ ਦੀ ਖੋਜ ਨੂੰ ਵੀ ਧਿਆਨ ਵਿੱਚ ਰੱਖਦਾ ਹੈ, ਉਦਾਹਰਨ ਲਈ, ਕਮਜ਼ੋਰ ਫੰਕਸ਼ਨ ਜਾਂ ਕਲਾਸ ਦਾ ਨਾਮ। ਨਤੀਜਿਆਂ ਦੇ ਵਿਸ਼ਲੇਸ਼ਣ ਵਿੱਚ ਬਾਅਦ ਵਿੱਚ IQ ਦੀ ਵਿਧੀ ਬਾਰੇ ਚਰਚਾ ਕੀਤੀ ਜਾਵੇਗੀ।

ਆਓ ਕੁਝ ਕਾਰਜਸ਼ੀਲ ਵਿਸ਼ੇਸ਼ਤਾਵਾਂ ਦਾ ਸਾਰ ਕਰੀਏ, ਅਤੇ ਵਿਸ਼ਲੇਸ਼ਣ ਲਈ ਸਮਰਥਿਤ ਭਾਸ਼ਾਵਾਂ 'ਤੇ ਵੀ ਵਿਚਾਰ ਕਰੀਏ:

ਭਾਸ਼ਾ
Nexus IQ
ਨਿਰਭਰਤਾ ਜਾਂਚ
ਨਿਰਭਰਤਾ ਟਰੈਕ

ਜਾਵਾ
+
+
+

C / C ++
+
+
-

C#
+
+
-

.Net
+
+
+

ਏਰਾਲੰਗ
-
-
+

JavaScript (NodeJS)
+
+
+

PHP
+
+
+

ਪਾਈਥਨ
+
+
+

ਰੂਬੀ
+
+
+

ਪਰਲ
-
-
-

ਸਕੇਲਾ
+
+
+

ਉਦੇਸ਼ ਸੀ
+
+
-

ਸਵਿਫਟ
+
+
-

R
+
-
-

Go
+
+
+

ਕਾਰਜਸ਼ੀਲਤਾ

ਕਾਰਜਸ਼ੀਲਤਾ
Nexus IQ
ਨਿਰਭਰਤਾ ਜਾਂਚ
ਨਿਰਭਰਤਾ ਟਰੈਕ

ਇਹ ਯਕੀਨੀ ਬਣਾਉਣ ਦੀ ਯੋਗਤਾ ਕਿ ਸਰੋਤ ਕੋਡ ਵਿੱਚ ਵਰਤੇ ਗਏ ਭਾਗਾਂ ਦੀ ਲਾਇਸੰਸਸ਼ੁਦਾ ਸ਼ੁੱਧਤਾ ਲਈ ਜਾਂਚ ਕੀਤੀ ਜਾਂਦੀ ਹੈ
+
-
+

ਡੌਕਰ ਚਿੱਤਰਾਂ ਲਈ ਕਮਜ਼ੋਰੀਆਂ ਅਤੇ ਲਾਇਸੈਂਸ ਸਫਾਈ ਲਈ ਸਕੈਨ ਅਤੇ ਵਿਸ਼ਲੇਸ਼ਣ ਕਰਨ ਦੀ ਸਮਰੱਥਾ
+ ਕਲੇਅਰ ਨਾਲ ਏਕੀਕਰਣ
-
-

ਓਪਨ ਸੋਰਸ ਲਾਇਬ੍ਰੇਰੀਆਂ ਦੀ ਵਰਤੋਂ ਕਰਨ ਲਈ ਸੁਰੱਖਿਆ ਨੀਤੀਆਂ ਨੂੰ ਕੌਂਫਿਗਰ ਕਰਨ ਦੀ ਸਮਰੱਥਾ
+
-
-

ਕਮਜ਼ੋਰ ਕੰਪੋਨੈਂਟਸ ਲਈ ਓਪਨ ਸੋਰਸ ਰਿਪੋਜ਼ਟਰੀਆਂ ਨੂੰ ਸਕੈਨ ਕਰਨ ਦੀ ਸਮਰੱਥਾ
+ RubyGems, Maven, NPM, Nuget, Pypi, Conan, Bower, Conda, Go, p2, R, Yum, Helm, Docker, CocoaPods, Git LFS
-
+ ਹੈਕਸ, ਰੂਬੀਗੇਮਜ਼, ਮਾਵੇਨ, ਐਨਪੀਐਮ, ਨੂਗੇਟ, ਪਾਈਪੀ

ਇੱਕ ਵਿਸ਼ੇਸ਼ ਖੋਜ ਸਮੂਹ ਦੀ ਉਪਲਬਧਤਾ
+
-
-

ਬੰਦ ਲੂਪ ਓਪਰੇਸ਼ਨ
+
+
+

ਤੀਜੀ ਧਿਰ ਦੇ ਡੇਟਾਬੇਸ ਦੀ ਵਰਤੋਂ ਕਰਨਾ
+ ਬੰਦ ਸੋਨਾਟਾਈਪ ਡਾਟਾਬੇਸ
+ ਸੋਨਾਟਾਈਪ OSS, NPM ਪਬਲਿਕ ਸਲਾਹਕਾਰ
+ ਸੋਨਾਟਾਈਪ OSS, NPM ਪਬਲਿਕ ਸਲਾਹਕਾਰ, RetireJS, VulnDB, ਇਸਦੇ ਆਪਣੇ ਕਮਜ਼ੋਰ ਡੇਟਾਬੇਸ ਲਈ ਸਮਰਥਨ

ਕੌਂਫਿਗਰ ਕੀਤੀਆਂ ਨੀਤੀਆਂ ਦੇ ਅਨੁਸਾਰ ਵਿਕਾਸ ਲੂਪ ਵਿੱਚ ਲੋਡ ਕਰਨ ਦੀ ਕੋਸ਼ਿਸ਼ ਕਰਦੇ ਸਮੇਂ ਓਪਨ ਸੋਰਸ ਕੰਪੋਨੈਂਟਸ ਨੂੰ ਫਿਲਟਰ ਕਰਨ ਦੀ ਸਮਰੱਥਾ
+
-
-

ਕਮਜ਼ੋਰੀਆਂ ਨੂੰ ਠੀਕ ਕਰਨ ਲਈ ਸਿਫ਼ਾਰਿਸ਼ਾਂ, ਫਿਕਸਾਂ ਲਈ ਲਿੰਕਾਂ ਦੀ ਉਪਲਬਧਤਾ
+
+- (ਜਨਤਕ ਡੇਟਾਬੇਸ ਵਿੱਚ ਵਰਣਨ 'ਤੇ ਨਿਰਭਰ ਕਰਦਾ ਹੈ)
+- (ਜਨਤਕ ਡੇਟਾਬੇਸ ਵਿੱਚ ਵਰਣਨ 'ਤੇ ਨਿਰਭਰ ਕਰਦਾ ਹੈ)

ਗੰਭੀਰਤਾ ਦੁਆਰਾ ਖੋਜੀਆਂ ਗਈਆਂ ਕਮਜ਼ੋਰੀਆਂ ਦੀ ਦਰਜਾਬੰਦੀ
+
+
+

ਭੂਮਿਕਾ-ਅਧਾਰਿਤ ਪਹੁੰਚ ਮਾਡਲ
+
-
+

CLI ਸਹਿਯੋਗ
+
+
+- (ਕੇਵਲ CycloneDX ਲਈ)

ਪਰਿਭਾਸ਼ਿਤ ਮਾਪਦੰਡਾਂ ਦੇ ਅਨੁਸਾਰ ਕਮਜ਼ੋਰੀਆਂ ਦਾ ਨਮੂਨਾ/ਛਾਂਟਣਾ
+
-
+

ਐਪਲੀਕੇਸ਼ਨ ਸਥਿਤੀ ਦੁਆਰਾ ਡੈਸ਼ਬੋਰਡ
+
-
+

PDF ਫਾਰਮੈਟ ਵਿੱਚ ਰਿਪੋਰਟਾਂ ਤਿਆਰ ਕੀਤੀਆਂ ਜਾ ਰਹੀਆਂ ਹਨ
+
-
-

JSONCSV ਫਾਰਮੈਟ ਵਿੱਚ ਰਿਪੋਰਟਾਂ ਤਿਆਰ ਕੀਤੀਆਂ ਜਾ ਰਹੀਆਂ ਹਨ
+
+
-

ਰੂਸੀ ਭਾਸ਼ਾ ਦਾ ਸਮਰਥਨ
-
-
-

ਏਕੀਕਰਣ ਸਮਰੱਥਾਵਾਂ

ਏਕੀਕਰਣ
Nexus IQ
ਨਿਰਭਰਤਾ ਜਾਂਚ
ਨਿਰਭਰਤਾ ਟਰੈਕ

LDAP/ਐਕਟਿਵ ਡਾਇਰੈਕਟਰੀ ਏਕੀਕਰਣ
+
-
+

ਨਿਰੰਤਰ ਏਕੀਕਰਣ ਪ੍ਰਣਾਲੀ ਬਾਂਸ ਦੇ ਨਾਲ ਏਕੀਕਰਣ
+
-
-

ਨਿਰੰਤਰ ਏਕੀਕਰਣ ਪ੍ਰਣਾਲੀ ਟੀਮਸਿਟੀ ਨਾਲ ਏਕੀਕਰਣ
+
-
-

ਲਗਾਤਾਰ ਏਕੀਕਰਣ ਸਿਸਟਮ GitLab ਨਾਲ ਏਕੀਕਰਣ
+
+- (GitLab ਲਈ ਇੱਕ ਪਲੱਗਇਨ ਵਜੋਂ)
+

ਨਿਰੰਤਰ ਏਕੀਕਰਣ ਪ੍ਰਣਾਲੀ ਜੇਨਕਿੰਸ ਨਾਲ ਏਕੀਕਰਣ
+
+
+

IDE ਲਈ ਪਲੱਗਇਨ ਦੀ ਉਪਲਬਧਤਾ
+ IntelliJ, Eclipse, Visual Studio
-
-

ਟੂਲ ਦੀ ਵੈੱਬ-ਸਰਵਿਸਿਜ਼ (API) ਦੁਆਰਾ ਕਸਟਮ ਏਕੀਕਰਣ ਲਈ ਸਮਰਥਨ
+
-
+

ਨਿਰਭਰਤਾ ਜਾਂਚ

ਪਹਿਲੀ ਸ਼ੁਰੂਆਤ

ਚਲੋ ਇੱਕ ਜਾਣਬੁੱਝ ਕੇ ਕਮਜ਼ੋਰ ਐਪਲੀਕੇਸ਼ਨ 'ਤੇ ਨਿਰਭਰਤਾ ਜਾਂਚ ਚਲਾਈਏ ਡੀ.ਵੀ.ਜੇ.ਏ.

ਇਸਦੇ ਲਈ ਅਸੀਂ ਵਰਤਾਂਗੇ ਨਿਰਭਰਤਾ ਜਾਂਚ ਮਾਵੇਨ ਪਲੱਗਇਨ:

mvn org.owasp:dependency-check-maven:check

ਨਤੀਜੇ ਵਜੋਂ, dependency-check-report.html ਟਾਰਗਿਟ ਡਾਇਰੈਕਟਰੀ ਵਿੱਚ ਦਿਖਾਈ ਦੇਵੇਗਾ।

ਚਲੋ ਫਾਈਲ ਖੋਲ੍ਹੀਏ। ਕਮਜ਼ੋਰੀਆਂ ਦੀ ਕੁੱਲ ਸੰਖਿਆ ਬਾਰੇ ਸੰਖੇਪ ਜਾਣਕਾਰੀ ਤੋਂ ਬਾਅਦ, ਅਸੀਂ ਪੈਕੇਜ, CPE, ਅਤੇ CVE ਦੀ ਸੰਖਿਆ ਨੂੰ ਦਰਸਾਉਂਦੇ ਹੋਏ, ਉੱਚ ਪੱਧਰੀ ਗੰਭੀਰਤਾ ਅਤੇ ਵਿਸ਼ਵਾਸ ਨਾਲ ਕਮਜ਼ੋਰੀਆਂ ਬਾਰੇ ਜਾਣਕਾਰੀ ਦੇਖ ਸਕਦੇ ਹਾਂ।

ਅੱਗੇ ਹੋਰ ਵਿਸਤ੍ਰਿਤ ਜਾਣਕਾਰੀ ਆਉਂਦੀ ਹੈ, ਖਾਸ ਤੌਰ 'ਤੇ ਜਿਸ ਆਧਾਰ 'ਤੇ ਫੈਸਲਾ ਲਿਆ ਗਿਆ ਸੀ (ਸਬੂਤ), ਯਾਨੀ ਕਿ ਇੱਕ ਖਾਸ BOM।

ਅੱਗੇ CPE, PURL ਅਤੇ CVE ਵੇਰਵਾ ਆਉਂਦਾ ਹੈ। ਤਰੀਕੇ ਨਾਲ, NVD ਡੇਟਾਬੇਸ ਵਿੱਚ ਉਹਨਾਂ ਦੀ ਗੈਰਹਾਜ਼ਰੀ ਦੇ ਕਾਰਨ ਸੁਧਾਰ ਲਈ ਸਿਫਾਰਿਸ਼ਾਂ ਸ਼ਾਮਲ ਨਹੀਂ ਕੀਤੀਆਂ ਗਈਆਂ ਹਨ।

ਸਕੈਨ ਦੇ ਨਤੀਜਿਆਂ ਨੂੰ ਯੋਜਨਾਬੱਧ ਢੰਗ ਨਾਲ ਦੇਖਣ ਲਈ, ਤੁਸੀਂ Nginx ਨੂੰ ਨਿਊਨਤਮ ਸੈਟਿੰਗਾਂ ਨਾਲ ਕੌਂਫਿਗਰ ਕਰ ਸਕਦੇ ਹੋ, ਜਾਂ ਨਤੀਜੇ ਵਾਲੇ ਨੁਕਸ ਨੂੰ ਇੱਕ ਨੁਕਸ ਪ੍ਰਬੰਧਨ ਸਿਸਟਮ ਨੂੰ ਭੇਜ ਸਕਦੇ ਹੋ ਜੋ ਨਿਰਭਰਤਾ ਜਾਂਚ ਲਈ ਕਨੈਕਟਰਾਂ ਦਾ ਸਮਰਥਨ ਕਰਦਾ ਹੈ। ਉਦਾਹਰਨ ਲਈ, Defect Dojo.

ਨਿਰਭਰਤਾ ਟਰੈਕ

ਸੈਟਿੰਗ

ਨਿਰਭਰਤਾ ਟ੍ਰੈਕ, ਬਦਲੇ ਵਿੱਚ, ਡਿਸਪਲੇ ਗ੍ਰਾਫਾਂ ਵਾਲਾ ਇੱਕ ਵੈੱਬ-ਅਧਾਰਿਤ ਪਲੇਟਫਾਰਮ ਹੈ, ਇਸਲਈ ਇੱਕ ਤੀਜੀ-ਧਿਰ ਦੇ ਹੱਲ ਵਿੱਚ ਨੁਕਸ ਸਟੋਰ ਕਰਨ ਦਾ ਦਬਾਉਣ ਵਾਲਾ ਮੁੱਦਾ ਇੱਥੇ ਪੈਦਾ ਨਹੀਂ ਹੁੰਦਾ।
ਇੰਸਟਾਲੇਸ਼ਨ ਲਈ ਸਮਰਥਿਤ ਸਕ੍ਰਿਪਟਾਂ ਹਨ: ਡੌਕਰ, ਵਾਰ, ਐਗਜ਼ੀਕਿਊਟੇਬਲ ਵਾਰ।

ਪਹਿਲੀ ਸ਼ੁਰੂਆਤ

ਅਸੀਂ ਚੱਲ ਰਹੀ ਸੇਵਾ ਦੇ URL 'ਤੇ ਜਾਂਦੇ ਹਾਂ। ਅਸੀਂ ਐਡਮਿਨ/ਐਡਮਿਨ ਰਾਹੀਂ ਲੌਗਇਨ ਕਰਦੇ ਹਾਂ, ਲੌਗਇਨ ਅਤੇ ਪਾਸਵਰਡ ਬਦਲਦੇ ਹਾਂ, ਅਤੇ ਫਿਰ ਡੈਸ਼ਬੋਰਡ 'ਤੇ ਜਾਂਦੇ ਹਾਂ। ਅਗਲੀ ਚੀਜ਼ ਜੋ ਅਸੀਂ ਕਰਾਂਗੇ ਉਹ ਹੈ Java ਵਿੱਚ ਇੱਕ ਟੈਸਟ ਐਪਲੀਕੇਸ਼ਨ ਲਈ ਇੱਕ ਪ੍ਰੋਜੈਕਟ ਬਣਾਉਣਾ ਘਰ/ਪ੍ਰੋਜੈਕਟ → ਪ੍ਰੋਜੈਕਟ ਬਣਾਓ . ਆਓ ਡੀਵੀਜੇਏ ਨੂੰ ਇੱਕ ਉਦਾਹਰਣ ਵਜੋਂ ਲੈਂਦੇ ਹਾਂ।

ਕਿਉਂਕਿ ਨਿਰਭਰਤਾ ਟਰੈਕ ਸਿਰਫ਼ BOM ਨੂੰ ਇਨਪੁਟ ਵਜੋਂ ਸਵੀਕਾਰ ਕਰ ਸਕਦਾ ਹੈ, ਇਸ BOM ਨੂੰ ਮੁੜ ਪ੍ਰਾਪਤ ਕੀਤਾ ਜਾਣਾ ਚਾਹੀਦਾ ਹੈ। ਆਓ ਲਾਭ ਉਠਾਈਏ CycloneDX Maven ਪਲੱਗਇਨ:

mvn org.cyclonedx:cyclonedx-maven-plugin:makeAggregateBom

ਅਸੀਂ bom.xml ਪ੍ਰਾਪਤ ਕਰਦੇ ਹਾਂ ਅਤੇ ਬਣਾਏ ਪ੍ਰੋਜੈਕਟ ਵਿੱਚ ਫਾਈਲ ਲੋਡ ਕਰਦੇ ਹਾਂ DVJA → ਨਿਰਭਰਤਾ → BOM ਅੱਪਲੋਡ ਕਰੋ.

ਚਲੋ ਪ੍ਰਸ਼ਾਸਨ → ਵਿਸ਼ਲੇਸ਼ਕ 'ਤੇ ਚੱਲੀਏ। ਅਸੀਂ ਸਮਝਦੇ ਹਾਂ ਕਿ ਸਾਡੇ ਕੋਲ ਸਿਰਫ ਅੰਦਰੂਨੀ ਵਿਸ਼ਲੇਸ਼ਕ ਸਮਰਥਿਤ ਹੈ, ਜਿਸ ਵਿੱਚ NVD ਸ਼ਾਮਲ ਹੈ। ਆਓ ਸੋਨਾਟਾਈਪ OSS ਇੰਡੈਕਸ ਨੂੰ ਵੀ ਕਨੈਕਟ ਕਰੀਏ।

ਇਸ ਤਰ੍ਹਾਂ, ਸਾਨੂੰ ਸਾਡੇ ਪ੍ਰੋਜੈਕਟ ਲਈ ਹੇਠ ਲਿਖੀ ਤਸਵੀਰ ਮਿਲਦੀ ਹੈ:

ਸੂਚੀ ਵਿੱਚ ਤੁਸੀਂ ਸੋਨਾਟਾਈਪ OSS 'ਤੇ ਲਾਗੂ ਹੋਣ ਵਾਲੀ ਇੱਕ ਕਮਜ਼ੋਰੀ ਵੀ ਲੱਭ ਸਕਦੇ ਹੋ:

ਮੁੱਖ ਨਿਰਾਸ਼ਾ ਇਹ ਸੀ ਕਿ ਨਿਰਭਰਤਾ ਟਰੈਕ ਹੁਣ ਨਿਰਭਰਤਾ ਜਾਂਚ xml ਰਿਪੋਰਟਾਂ ਨੂੰ ਸਵੀਕਾਰ ਨਹੀਂ ਕਰਦਾ ਹੈ। ਨਿਰਭਰਤਾ ਜਾਂਚ ਏਕੀਕਰਣ ਦੇ ਨਵੀਨਤਮ ਸਮਰਥਿਤ ਸੰਸਕਰਣ 1.0.0 - 4.0.2 ਸਨ, ਜਦੋਂ ਕਿ ਮੈਂ 5.3.2 ਦੀ ਜਾਂਚ ਕੀਤੀ ਸੀ।

ਇੱਥੇ видео (ਅਤੇ ਦੇਖ!) ਜਦੋਂ ਇਹ ਅਜੇ ਵੀ ਸੰਭਵ ਸੀ।

Nexus IQ

ਪਹਿਲੀ ਸ਼ੁਰੂਆਤ

Nexus IQ ਦੀ ਸਥਾਪਨਾ ਦੇ ਪੁਰਾਲੇਖਾਂ ਤੋਂ ਆਉਂਦੀ ਹੈ ਦਸਤਾਵੇਜ਼, ਪਰ ਅਸੀਂ ਇਹਨਾਂ ਉਦੇਸ਼ਾਂ ਲਈ ਇੱਕ ਡੌਕਰ ਚਿੱਤਰ ਬਣਾਇਆ ਹੈ।

ਕੰਸੋਲ ਵਿੱਚ ਲੌਗਇਨ ਕਰਨ ਤੋਂ ਬਾਅਦ, ਤੁਹਾਨੂੰ ਇੱਕ ਸੰਗਠਨ ਅਤੇ ਐਪਲੀਕੇਸ਼ਨ ਬਣਾਉਣ ਦੀ ਲੋੜ ਹੈ।

ਜਿਵੇਂ ਕਿ ਤੁਸੀਂ ਦੇਖ ਸਕਦੇ ਹੋ, IQ ਦੇ ਮਾਮਲੇ ਵਿੱਚ ਸੈੱਟਅੱਪ ਕੁਝ ਹੋਰ ਗੁੰਝਲਦਾਰ ਹੈ, ਕਿਉਂਕਿ ਸਾਨੂੰ ਵੱਖ-ਵੱਖ "ਪੜਾਵਾਂ" (ਦੇਵ, ਬਿਲਡ, ਪੜਾਅ, ਰਿਲੀਜ਼) ਲਈ ਲਾਗੂ ਹੋਣ ਵਾਲੀਆਂ ਨੀਤੀਆਂ ਬਣਾਉਣ ਦੀ ਵੀ ਲੋੜ ਹੈ। ਇਹ ਕਮਜ਼ੋਰ ਕੰਪੋਨੈਂਟਸ ਨੂੰ ਬਲਾਕ ਕਰਨ ਲਈ ਜ਼ਰੂਰੀ ਹੈ ਕਿਉਂਕਿ ਉਹ ਉਤਪਾਦਨ ਦੇ ਨੇੜੇ ਪਾਈਪਲਾਈਨ ਰਾਹੀਂ ਜਾਂਦੇ ਹਨ, ਜਾਂ ਡਿਵੈਲਪਰਾਂ ਦੁਆਰਾ ਡਾਊਨਲੋਡ ਕੀਤੇ ਜਾਣ 'ਤੇ ਉਹ Nexus Repo ਵਿੱਚ ਆਉਂਦੇ ਹੀ ਉਹਨਾਂ ਨੂੰ ਬਲੌਕ ਕਰਦੇ ਹਨ।

ਓਪਨ ਸੋਰਸ ਅਤੇ ਐਂਟਰਪ੍ਰਾਈਜ਼ ਵਿੱਚ ਫਰਕ ਮਹਿਸੂਸ ਕਰਨ ਲਈ, ਆਓ Nexus IQ ਦੁਆਰਾ ਉਸੇ ਤਰੀਕੇ ਨਾਲ ਸਕੈਨ ਕਰੀਏ Maven ਪਲੱਗਇਨ, ਪਹਿਲਾਂ NexusIQ ਇੰਟਰਫੇਸ ਵਿੱਚ ਇੱਕ ਟੈਸਟ ਐਪਲੀਕੇਸ਼ਨ ਬਣਾਈ ਹੈ dvja-test-and-compare:

mvn com.sonatype.clm:clm-maven-plugin:evaluate -Dclm.applicationId=dvja-test-and-compare -Dclm.serverUrl=<NEXUSIQIP> -Dclm.username=<USERNAME> -Dclm.password=<PASSWORD>

IQ ਵੈੱਬ ਇੰਟਰਫੇਸ ਵਿੱਚ ਤਿਆਰ ਕੀਤੀ ਗਈ ਰਿਪੋਰਟ ਲਈ URL ਦੀ ਪਾਲਣਾ ਕਰੋ:

ਇੱਥੇ ਤੁਸੀਂ ਵੱਖ-ਵੱਖ ਮਹੱਤਵ ਦੇ ਪੱਧਰਾਂ (ਜਾਣਕਾਰੀ ਤੋਂ ਸੁਰੱਖਿਆ ਗੰਭੀਰ ਤੱਕ) ਨੂੰ ਦਰਸਾਉਂਦੀਆਂ ਸਾਰੀਆਂ ਨੀਤੀ ਉਲੰਘਣਾਵਾਂ ਨੂੰ ਦੇਖ ਸਕਦੇ ਹੋ। ਕੰਪੋਨੈਂਟ ਦੇ ਅੱਗੇ ਅੱਖਰ D ਦਾ ਮਤਲਬ ਹੈ ਕਿ ਕੰਪੋਨੈਂਟ ਸਿੱਧੀ ਨਿਰਭਰਤਾ ਹੈ, ਅਤੇ ਕੰਪੋਨੈਂਟ ਦੇ ਅੱਗੇ ਅੱਖਰ T ਦਾ ਮਤਲਬ ਹੈ ਕਿ ਕੰਪੋਨੈਂਟ ਟਰਾਂਜ਼ਿਟਿਵ ਨਿਰਭਰਤਾ ਹੈ, ਯਾਨੀ ਇਹ ਪਰਿਵਰਤਨਸ਼ੀਲ ਹੈ।

ਤਰੀਕੇ ਨਾਲ, ਰਿਪੋਰਟ ਓਪਨ ਸੋਰਸ ਸੁਰੱਖਿਆ ਰਿਪੋਰਟ 2020 ਦੀ ਸਥਿਤੀ Snyk ਤੋਂ ਰਿਪੋਰਟ ਕਰਦਾ ਹੈ ਕਿ Node.js, Java ਅਤੇ Ruby ਵਿੱਚ ਖੋਜੀਆਂ ਗਈਆਂ 70% ਤੋਂ ਵੱਧ ਓਪਨ ਸੋਰਸ ਕਮਜ਼ੋਰੀਆਂ ਪਰਿਵਰਤਨਸ਼ੀਲ ਨਿਰਭਰਤਾ ਵਿੱਚ ਹਨ।

ਜੇਕਰ ਅਸੀਂ Nexus IQ ਨੀਤੀ ਦੀਆਂ ਉਲੰਘਣਾਵਾਂ ਵਿੱਚੋਂ ਇੱਕ ਨੂੰ ਖੋਲ੍ਹਦੇ ਹਾਂ, ਤਾਂ ਅਸੀਂ ਕੰਪੋਨੈਂਟ ਦਾ ਵੇਰਵਾ ਦੇਖ ਸਕਦੇ ਹਾਂ, ਨਾਲ ਹੀ ਇੱਕ ਸੰਸਕਰਣ ਗ੍ਰਾਫ਼, ਜੋ ਸਮਾਂ ਗ੍ਰਾਫ ਵਿੱਚ ਮੌਜੂਦਾ ਸੰਸਕਰਣ ਦੀ ਸਥਿਤੀ ਨੂੰ ਦਰਸਾਉਂਦਾ ਹੈ, ਅਤੇ ਨਾਲ ਹੀ ਕਿਸ ਬਿੰਦੂ 'ਤੇ ਕਮਜ਼ੋਰੀ ਬੰਦ ਹੋ ਜਾਂਦੀ ਹੈ। ਕਮਜ਼ੋਰ ਹੋਣਾ ਗ੍ਰਾਫ 'ਤੇ ਮੋਮਬੱਤੀਆਂ ਦੀ ਉਚਾਈ ਇਸ ਹਿੱਸੇ ਦੀ ਵਰਤੋਂ ਕਰਨ ਦੀ ਪ੍ਰਸਿੱਧੀ ਨੂੰ ਦਰਸਾਉਂਦੀ ਹੈ.

ਜੇ ਤੁਸੀਂ ਕਮਜ਼ੋਰੀ ਸੈਕਸ਼ਨ 'ਤੇ ਜਾਂਦੇ ਹੋ ਅਤੇ CVE ਦਾ ਵਿਸਤਾਰ ਕਰਦੇ ਹੋ, ਤਾਂ ਤੁਸੀਂ ਇਸ ਕਮਜ਼ੋਰੀ ਦਾ ਵੇਰਵਾ, ਖਾਤਮੇ ਲਈ ਸਿਫ਼ਾਰਸ਼ਾਂ, ਅਤੇ ਨਾਲ ਹੀ ਇਸ ਹਿੱਸੇ ਦੀ ਉਲੰਘਣਾ ਕਰਨ ਦਾ ਕਾਰਨ ਪੜ੍ਹ ਸਕਦੇ ਹੋ, ਯਾਨੀ ਕਿ ਕਲਾਸ ਦੀ ਮੌਜੂਦਗੀ। DiskFileitem.class.

ਆਉ js ਕੰਪੋਨੈਂਟਸ ਨੂੰ ਹਟਾਉਂਦੇ ਹੋਏ, ਸਿਰਫ ਤੀਜੀ-ਧਿਰ ਜਾਵਾ ਕੰਪੋਨੈਂਟਸ ਨਾਲ ਸੰਬੰਧਿਤ ਉਹਨਾਂ ਦਾ ਸੰਖੇਪ ਕਰੀਏ। ਬਰੈਕਟਾਂ ਵਿੱਚ ਅਸੀਂ ਕਮਜ਼ੋਰੀਆਂ ਦੀ ਸੰਖਿਆ ਨੂੰ ਦਰਸਾਉਂਦੇ ਹਾਂ ਜੋ NVD ਤੋਂ ਬਾਹਰ ਪਾਈਆਂ ਗਈਆਂ ਸਨ।

ਕੁੱਲ Nexus IQ:

• ਨਿਰਭਰਤਾਵਾਂ ਸਕੈਨ ਕੀਤੀਆਂ ਗਈਆਂ: 62
• ਕਮਜ਼ੋਰ ਨਿਰਭਰਤਾ: 16
• ਕਮਜ਼ੋਰੀਆਂ ਲੱਭੀਆਂ: 42 (8 ਸੋਨਾਟਾਈਪ ਡੀਬੀ)

ਕੁੱਲ ਨਿਰਭਰਤਾ ਜਾਂਚ:

• ਨਿਰਭਰਤਾਵਾਂ ਸਕੈਨ ਕੀਤੀਆਂ ਗਈਆਂ: 47
• ਕਮਜ਼ੋਰ ਨਿਰਭਰਤਾ: 13
• ਕਮਜ਼ੋਰੀਆਂ ਲੱਭੀਆਂ: 91 (14 ਸੋਨਾਟਾਈਪ ਓਐਸਐਸ)

ਕੁੱਲ ਨਿਰਭਰਤਾ ਟਰੈਕ:

• ਨਿਰਭਰਤਾਵਾਂ ਸਕੈਨ ਕੀਤੀਆਂ ਗਈਆਂ: 59
• ਕਮਜ਼ੋਰ ਨਿਰਭਰਤਾ: 10
• ਕਮਜ਼ੋਰੀਆਂ ਲੱਭੀਆਂ: 51 (1 ਸੋਨਾਟਾਈਪ ਓਐਸਐਸ)

ਅਗਲੇ ਪੜਾਵਾਂ ਵਿੱਚ, ਅਸੀਂ ਪ੍ਰਾਪਤ ਕੀਤੇ ਨਤੀਜਿਆਂ ਦਾ ਵਿਸ਼ਲੇਸ਼ਣ ਕਰਾਂਗੇ ਅਤੇ ਇਹ ਪਤਾ ਲਗਾਵਾਂਗੇ ਕਿ ਇਹਨਾਂ ਵਿੱਚੋਂ ਕਿਹੜੀਆਂ ਕਮਜ਼ੋਰੀਆਂ ਇੱਕ ਅਸਲੀ ਨੁਕਸ ਹੈ ਅਤੇ ਕਿਹੜੀ ਗਲਤ ਸਕਾਰਾਤਮਕ ਹੈ।

ਬੇਦਾਅਵਾ

ਇਹ ਸਮੀਖਿਆ ਇੱਕ ਨਿਰਵਿਵਾਦ ਸੱਚਾਈ ਨਹੀਂ ਹੈ। ਲੇਖਕ ਦਾ ਦੂਸਰਿਆਂ ਦੇ ਪਿਛੋਕੜ ਦੇ ਵਿਰੁੱਧ ਇੱਕ ਵੱਖਰੇ ਸਾਧਨ ਨੂੰ ਉਜਾਗਰ ਕਰਨ ਦਾ ਟੀਚਾ ਨਹੀਂ ਸੀ। ਸਮੀਖਿਆ ਦਾ ਉਦੇਸ਼ SCA ਟੂਲਸ ਦੇ ਸੰਚਾਲਨ ਦੀ ਵਿਧੀ ਅਤੇ ਉਹਨਾਂ ਦੇ ਨਤੀਜਿਆਂ ਦੀ ਜਾਂਚ ਕਰਨ ਦੇ ਤਰੀਕੇ ਦਿਖਾਉਣਾ ਸੀ।

ਨਤੀਜਿਆਂ ਦੀ ਤੁਲਨਾ

ਸ਼ਰਤਾਂ:

ਥਰਡ-ਪਾਰਟੀ ਕੰਪੋਨੈਂਟ ਕਮਜ਼ੋਰੀਆਂ ਲਈ ਇੱਕ ਗਲਤ ਸਕਾਰਾਤਮਕ ਹੈ:

• ਪਛਾਣੇ ਗਏ ਹਿੱਸੇ ਨਾਲ CVE ਬੇਮੇਲ ਹੈ
• ਉਦਾਹਰਨ ਲਈ, ਜੇਕਰ ਸਟਰਟਸ2 ਫਰੇਮਵਰਕ ਵਿੱਚ ਇੱਕ ਕਮਜ਼ੋਰੀ ਦੀ ਪਛਾਣ ਕੀਤੀ ਜਾਂਦੀ ਹੈ, ਅਤੇ ਟੂਲ ਸਟਰਟਸ-ਟਾਈਲ ਫਰੇਮਵਰਕ ਦੇ ਇੱਕ ਹਿੱਸੇ ਵੱਲ ਇਸ਼ਾਰਾ ਕਰਦਾ ਹੈ, ਜਿਸ 'ਤੇ ਇਹ ਕਮਜ਼ੋਰੀ ਲਾਗੂ ਨਹੀਂ ਹੁੰਦੀ ਹੈ, ਤਾਂ ਇਹ ਇੱਕ ਗਲਤ ਸਕਾਰਾਤਮਕ ਹੈ।
• CVE ਕੰਪੋਨੈਂਟ ਦੇ ਪਛਾਣੇ ਗਏ ਸੰਸਕਰਣ ਨਾਲ ਮੇਲ ਨਹੀਂ ਖਾਂਦਾ
• ਉਦਾਹਰਨ ਲਈ, ਕਮਜ਼ੋਰੀ ਨੂੰ python ਵਰਜਨ > 3.5 ਨਾਲ ਜੋੜਿਆ ਗਿਆ ਹੈ ਅਤੇ ਟੂਲ ਵਰਜਨ 2.7 ਨੂੰ ਕਮਜ਼ੋਰ ਵਜੋਂ ਚਿੰਨ੍ਹਿਤ ਕਰਦਾ ਹੈ - ਇਹ ਇੱਕ ਗਲਤ ਸਕਾਰਾਤਮਕ ਹੈ, ਕਿਉਂਕਿ ਅਸਲ ਵਿੱਚ ਕਮਜ਼ੋਰੀ ਸਿਰਫ 3.x ਉਤਪਾਦ ਸ਼ਾਖਾ 'ਤੇ ਲਾਗੂ ਹੁੰਦੀ ਹੈ।
• ਡੁਪਲੀਕੇਟ CVE
• ਉਦਾਹਰਨ ਲਈ, ਜੇਕਰ SCA ਇੱਕ CVE ਨਿਸ਼ਚਿਤ ਕਰਦਾ ਹੈ ਜੋ ਇੱਕ RCE ਨੂੰ ਸਮਰੱਥ ਬਣਾਉਂਦਾ ਹੈ, ਤਾਂ SCA ਉਸੇ ਹਿੱਸੇ ਲਈ ਇੱਕ CVE ਨਿਸ਼ਚਿਤ ਕਰਦਾ ਹੈ ਜੋ ਉਸ RCE ਦੁਆਰਾ ਪ੍ਰਭਾਵਿਤ Cisco ਉਤਪਾਦਾਂ 'ਤੇ ਲਾਗੂ ਹੁੰਦਾ ਹੈ। ਇਸ ਕੇਸ ਵਿੱਚ ਇਹ ਗਲਤ ਸਕਾਰਾਤਮਕ ਹੋਵੇਗਾ.
• ਉਦਾਹਰਨ ਲਈ, ਇੱਕ ਸਪਰਿੰਗ-ਵੈਬ ਕੰਪੋਨੈਂਟ ਵਿੱਚ ਇੱਕ CVE ਪਾਇਆ ਗਿਆ ਸੀ, ਜਿਸ ਤੋਂ ਬਾਅਦ SCA ਸਪਰਿੰਗ ਫਰੇਮਵਰਕ ਦੇ ਦੂਜੇ ਭਾਗਾਂ ਵਿੱਚ ਉਸੇ CVE ਵੱਲ ਇਸ਼ਾਰਾ ਕਰਦਾ ਹੈ, ਜਦੋਂ ਕਿ CVE ਦਾ ਦੂਜੇ ਹਿੱਸਿਆਂ ਨਾਲ ਕੋਈ ਲੈਣਾ-ਦੇਣਾ ਨਹੀਂ ਹੈ। ਇਸ ਕੇਸ ਵਿੱਚ ਇਹ ਗਲਤ ਸਕਾਰਾਤਮਕ ਹੋਵੇਗਾ.

ਅਧਿਐਨ ਦਾ ਉਦੇਸ਼ ਓਪਨ ਸੋਰਸ ਪ੍ਰੋਜੈਕਟ ਡੀਵੀਜੇਏ ਸੀ। ਅਧਿਐਨ ਵਿੱਚ ਸਿਰਫ਼ ਜਾਵਾ ਭਾਗ (ਜੇਐਸ ਤੋਂ ਬਿਨਾਂ) ਸ਼ਾਮਲ ਸਨ।

ਸੰਖੇਪ ਨਤੀਜੇ

ਆਓ ਪਛਾਣੀਆਂ ਗਈਆਂ ਕਮਜ਼ੋਰੀਆਂ ਦੀ ਦਸਤੀ ਸਮੀਖਿਆ ਦੇ ਨਤੀਜਿਆਂ 'ਤੇ ਸਿੱਧੇ ਚੱਲੀਏ। ਹਰੇਕ CVE ਲਈ ਪੂਰੀ ਰਿਪੋਰਟ ਅੰਤਿਕਾ ਵਿੱਚ ਦੇਖੀ ਜਾ ਸਕਦੀ ਹੈ।

ਸਾਰੀਆਂ ਕਮਜ਼ੋਰੀਆਂ ਲਈ ਸੰਖੇਪ ਨਤੀਜੇ:

ਪੈਰਾਮੀਟਰ
Nexus IQ
ਨਿਰਭਰਤਾ ਜਾਂਚ
ਨਿਰਭਰਤਾ ਟਰੈਕ

ਕੁੱਲ ਕਮਜ਼ੋਰੀਆਂ ਦੀ ਪਛਾਣ ਕੀਤੀ ਗਈ
42
91
51

ਗਲਤ ਤਰੀਕੇ ਨਾਲ ਪਛਾਣੀਆਂ ਗਈਆਂ ਕਮਜ਼ੋਰੀਆਂ (ਗਲਤ ਸਕਾਰਾਤਮਕ)
2 (4.76%)
62 (68,13%)
29 (56.86%)

ਕੋਈ ਢੁੱਕਵੀਂ ਕਮਜ਼ੋਰੀ ਨਹੀਂ ਮਿਲੀ (ਗਲਤ ਨਕਾਰਾਤਮਕ)
10
20
27

ਕੰਪੋਨੈਂਟ ਦੁਆਰਾ ਸੰਖੇਪ ਨਤੀਜੇ:

ਪੈਰਾਮੀਟਰ
Nexus IQ
ਨਿਰਭਰਤਾ ਜਾਂਚ
ਨਿਰਭਰਤਾ ਟਰੈਕ

ਕੁੱਲ ਭਾਗਾਂ ਦੀ ਪਛਾਣ ਕੀਤੀ ਗਈ
62
47
59

ਕੁੱਲ ਕਮਜ਼ੋਰ ਹਿੱਸੇ
16
13
10

ਗਲਤ ਤਰੀਕੇ ਨਾਲ ਪਛਾਣੇ ਗਏ ਕਮਜ਼ੋਰ ਹਿੱਸੇ (ਗਲਤ ਸਕਾਰਾਤਮਕ)
1
5
0

ਗਲਤ ਤਰੀਕੇ ਨਾਲ ਪਛਾਣੇ ਗਏ ਕਮਜ਼ੋਰ ਹਿੱਸੇ (ਗਲਤ ਸਕਾਰਾਤਮਕ)
0
6
6

ਆਉ ਕਮਜ਼ੋਰੀਆਂ ਦੀ ਕੁੱਲ ਸੰਖਿਆ ਲਈ ਝੂਠੇ ਸਕਾਰਾਤਮਕ ਅਤੇ ਝੂਠੇ ਨੈਗੇਟਿਵ ਦੇ ਅਨੁਪਾਤ ਦਾ ਮੁਲਾਂਕਣ ਕਰਨ ਲਈ ਵਿਜ਼ੂਅਲ ਗ੍ਰਾਫ਼ ਬਣਾਉਂਦੇ ਹਾਂ। ਭਾਗਾਂ ਨੂੰ ਖਿਤਿਜੀ ਤੌਰ 'ਤੇ ਚਿੰਨ੍ਹਿਤ ਕੀਤਾ ਗਿਆ ਹੈ, ਅਤੇ ਉਹਨਾਂ ਵਿੱਚ ਪਛਾਣੀਆਂ ਗਈਆਂ ਕਮਜ਼ੋਰੀਆਂ ਨੂੰ ਲੰਬਕਾਰੀ ਤੌਰ 'ਤੇ ਚਿੰਨ੍ਹਿਤ ਕੀਤਾ ਗਿਆ ਹੈ।

ਤੁਲਨਾ ਲਈ, ਸੋਨਾਟਾਈਪ ਟੀਮ ਦੁਆਰਾ OWASP ਨਿਰਭਰਤਾ ਜਾਂਚ ਦੀ ਵਰਤੋਂ ਕਰਦੇ ਹੋਏ 1531 ਭਾਗਾਂ ਦੇ ਇੱਕ ਪ੍ਰੋਜੈਕਟ ਦੀ ਜਾਂਚ ਕਰਨ ਲਈ ਇੱਕ ਸਮਾਨ ਅਧਿਐਨ ਕੀਤਾ ਗਿਆ ਸੀ। ਜਿਵੇਂ ਕਿ ਅਸੀਂ ਦੇਖ ਸਕਦੇ ਹਾਂ, ਸਹੀ ਜਵਾਬਾਂ ਲਈ ਸ਼ੋਰ ਦਾ ਅਨੁਪਾਤ ਸਾਡੇ ਨਤੀਜਿਆਂ ਨਾਲ ਤੁਲਨਾਯੋਗ ਹੈ।

ਸਰੋਤ: www.sonatype.com/why-precision-matters-ebook

ਆਉ ਇਹਨਾਂ ਨਤੀਜਿਆਂ ਦੇ ਕਾਰਨ ਨੂੰ ਸਮਝਣ ਲਈ ਸਾਡੇ ਸਕੈਨ ਨਤੀਜਿਆਂ ਵਿੱਚੋਂ ਕੁਝ CVE ਨੂੰ ਵੇਖੀਏ।

ਹੋਰ

ਨੰਬਰ XXX

ਆਓ ਪਹਿਲਾਂ Sonatype Nexus IQ ਬਾਰੇ ਕੁਝ ਦਿਲਚਸਪ ਨੁਕਤਿਆਂ 'ਤੇ ਨਜ਼ਰ ਮਾਰੀਏ।

Nexus IQ ਕਈ ਵਾਰ ਸਪਰਿੰਗ ਫਰੇਮਵਰਕ ਵਿੱਚ RCE ਕਰਨ ਦੀ ਯੋਗਤਾ ਦੇ ਨਾਲ ਡੀਸੀਰੀਅਲਾਈਜ਼ੇਸ਼ਨ ਦੇ ਨਾਲ ਇੱਕ ਮੁੱਦੇ ਵੱਲ ਇਸ਼ਾਰਾ ਕਰਦਾ ਹੈ। CVE-2016-1000027 spring-web ਵਿੱਚ:3.0.5 ਪਹਿਲੀ ਵਾਰ, ਅਤੇ CVE-2011-2894 ਬਸੰਤ-ਸੰਦਰਭ ਵਿੱਚ:3.0.5 ਅਤੇ ਸਪਰਿੰਗ-ਕੋਰ:3.0.5 ਵਿੱਚ। ਪਹਿਲਾਂ, ਇਹ ਜਾਪਦਾ ਹੈ ਕਿ ਕਈ CVEs ਵਿੱਚ ਕਮਜ਼ੋਰੀ ਦੀ ਨਕਲ ਹੈ। ਕਿਉਂਕਿ, ਜੇ ਤੁਸੀਂ NVD ਡੇਟਾਬੇਸ ਵਿੱਚ CVE-2016-1000027 ਅਤੇ CVE-2011-2894 ਨੂੰ ਦੇਖਦੇ ਹੋ, ਤਾਂ ਅਜਿਹਾ ਲਗਦਾ ਹੈ ਕਿ ਸਭ ਕੁਝ ਸਪੱਸ਼ਟ ਹੈ

ਭਾਗ
ਕਮਜ਼ੋਰੀ

spring-web:3.0.5
CVE-2016-1000027

ਬਸੰਤ-ਪ੍ਰਸੰਗ: 3.0.5
CVE-2011-2894

ਸਪਰਿੰਗ-ਕੋਰ: 3.0.5
CVE-2011-2894

ਵੇਰਵਾ CVE-2011-2894 NVD ਤੋਂ:


ਵੇਰਵਾ CVE-2016-1000027 NVD ਤੋਂ:


CVE-2011-2894 ਆਪਣੇ ਆਪ ਵਿਚ ਕਾਫੀ ਮਸ਼ਹੂਰ ਹੈ। ਰਿਪੋਰਟ ਵਿੱਚ ਵ੍ਹਾਈਟ ਸੋਰਸ 2011 ਇਸ CVE ਨੂੰ ਸਭ ਤੋਂ ਆਮ ਵਿੱਚੋਂ ਇੱਕ ਮੰਨਿਆ ਗਿਆ ਸੀ। CVE-2016-100027 ਲਈ ਵਰਣਨ, ਸਿਧਾਂਤਕ ਤੌਰ 'ਤੇ, NVD ਵਿੱਚ ਬਹੁਤ ਘੱਟ ਹਨ, ਅਤੇ ਇਹ ਸਿਰਫ਼ ਸਪਰਿੰਗ ਫਰੇਮਵਰਕ 4.1.4 ਲਈ ਲਾਗੂ ਹੁੰਦਾ ਜਾਪਦਾ ਹੈ। ਦੇ 'ਤੇ ਇੱਕ ਨਜ਼ਰ ਲੈ ਕਰੀਏ ਹਵਾਲਾ ਅਤੇ ਇੱਥੇ ਸਭ ਕੁਝ ਘੱਟ ਜਾਂ ਘੱਟ ਸਪੱਸ਼ਟ ਹੋ ਜਾਂਦਾ ਹੈ। ਤੋਂ ਟੇਨੇਬਲ ਲੇਖ ਅਸੀਂ ਸਮਝਦੇ ਹਾਂ ਕਿ ਵਿੱਚ ਕਮਜ਼ੋਰੀ ਤੋਂ ਇਲਾਵਾ RemoteInvocationSerializingExporter CVE-2011-2894 ਵਿੱਚ, ਕਮਜ਼ੋਰੀ ਦੇਖੀ ਗਈ ਹੈ HttpInvokerServiceExporter. ਇਹ ਉਹ ਹੈ ਜੋ Nexus IQ ਸਾਨੂੰ ਦੱਸਦਾ ਹੈ:

ਹਾਲਾਂਕਿ, NVD ਵਿੱਚ ਅਜਿਹਾ ਕੁਝ ਨਹੀਂ ਹੈ, ਜਿਸ ਕਾਰਨ ਨਿਰਭਰਤਾ ਜਾਂਚ ਅਤੇ ਨਿਰਭਰਤਾ ਟਰੈਕ ਹਰੇਕ ਨੂੰ ਗਲਤ ਨਕਾਰਾਤਮਕ ਪ੍ਰਾਪਤ ਹੁੰਦਾ ਹੈ।

CVE-2011-2894 ਦੇ ਵਰਣਨ ਤੋਂ ਵੀ ਇਹ ਸਮਝਿਆ ਜਾ ਸਕਦਾ ਹੈ ਕਿ ਕਮਜ਼ੋਰੀ ਅਸਲ ਵਿੱਚ ਸਪਰਿੰਗ-ਪ੍ਰਸੰਗ: 3.0.5 ਅਤੇ ਸਪਰਿੰਗ-ਕੋਰ: 3.0.5 ਦੋਵਾਂ ਵਿੱਚ ਮੌਜੂਦ ਹੈ। ਇਸ ਦੀ ਪੁਸ਼ਟੀ ਉਸ ਵਿਅਕਤੀ ਦੇ ਇੱਕ ਲੇਖ ਵਿੱਚ ਪਾਈ ਜਾ ਸਕਦੀ ਹੈ ਜਿਸ ਨੇ ਇਹ ਕਮਜ਼ੋਰੀ ਪਾਈ ਹੈ।

ਨੰਬਰ XXX

ਭਾਗ
ਕਮਜ਼ੋਰੀ
ਇਸ ਦਾ ਨਤੀਜਾ

ਸਟਰਟਸ2-ਕੋਰ: 2.3.30
CVE-2016-4003
ਗਲਤ

ਜੇਕਰ ਅਸੀਂ ਕਮਜ਼ੋਰੀ CVE-2016-4003 ਦਾ ਅਧਿਐਨ ਕਰਦੇ ਹਾਂ, ਤਾਂ ਅਸੀਂ ਸਮਝਾਂਗੇ ਕਿ ਇਸਨੂੰ ਸੰਸਕਰਣ 2.3.28 ਵਿੱਚ ਫਿਕਸ ਕੀਤਾ ਗਿਆ ਸੀ, ਹਾਲਾਂਕਿ, Nexus IQ ਸਾਨੂੰ ਇਸਦੀ ਰਿਪੋਰਟ ਕਰਦਾ ਹੈ। ਕਮਜ਼ੋਰੀ ਦੇ ਵਰਣਨ ਵਿੱਚ ਇੱਕ ਨੋਟ ਹੈ:

ਭਾਵ, ਕਮਜ਼ੋਰੀ ਸਿਰਫ JRE ਦੇ ਪੁਰਾਣੇ ਸੰਸਕਰਣ ਦੇ ਨਾਲ ਹੀ ਮੌਜੂਦ ਹੈ, ਜਿਸ ਬਾਰੇ ਉਹਨਾਂ ਨੇ ਸਾਨੂੰ ਚੇਤਾਵਨੀ ਦੇਣ ਦਾ ਫੈਸਲਾ ਕੀਤਾ ਹੈ। ਫਿਰ ਵੀ, ਅਸੀਂ ਇਸ ਨੂੰ ਗਲਤ ਸਕਾਰਾਤਮਕ ਮੰਨਦੇ ਹਾਂ, ਹਾਲਾਂਕਿ ਸਭ ਤੋਂ ਮਾੜਾ ਨਹੀਂ।

3 XNUMX

ਭਾਗ
ਕਮਜ਼ੋਰੀ
ਇਸ ਦਾ ਨਤੀਜਾ

xwork-core:2.3.30
CVE-2017-9804
ਸੱਚ,

xwork-core:2.3.30
CVE-2017-7672
ਗਲਤ

ਜੇਕਰ ਅਸੀਂ CVE-2017-9804 ਅਤੇ CVE-2017-7672 ਦੇ ਵਰਣਨ ਨੂੰ ਦੇਖਦੇ ਹਾਂ, ਤਾਂ ਅਸੀਂ ਸਮਝ ਸਕਾਂਗੇ ਕਿ ਸਮੱਸਿਆ URLValidator class, CVE-2017-9804 CVE-2017-7672 ਤੋਂ ਪੈਦਾ ਹੋਇਆ ਹੈ। ਦੂਜੀ ਕਮਜ਼ੋਰੀ ਦੀ ਮੌਜੂਦਗੀ ਇਸ ਤੱਥ ਤੋਂ ਇਲਾਵਾ ਕੋਈ ਵੀ ਲਾਭਦਾਇਕ ਲੋਡ ਨਹੀਂ ਲੈਂਦੀ ਹੈ ਕਿ ਇਸਦੀ ਤੀਬਰਤਾ ਵੱਧ ਗਈ ਹੈ, ਇਸਲਈ ਅਸੀਂ ਇਸਨੂੰ ਬੇਲੋੜੀ ਰੌਲਾ ਸਮਝ ਸਕਦੇ ਹਾਂ।

ਕੁੱਲ ਮਿਲਾ ਕੇ, Nexus IQ ਲਈ ਕੋਈ ਹੋਰ ਝੂਠੇ ਸਕਾਰਾਤਮਕ ਨਹੀਂ ਮਿਲੇ ਹਨ।

ਨੰਬਰ XXX

ਇੱਥੇ ਕਈ ਚੀਜ਼ਾਂ ਹਨ ਜੋ ਆਈਕਿਊ ਨੂੰ ਦੂਜੇ ਹੱਲਾਂ ਤੋਂ ਵੱਖਰਾ ਬਣਾਉਂਦੀਆਂ ਹਨ।

ਭਾਗ
ਕਮਜ਼ੋਰੀ
ਇਸ ਦਾ ਨਤੀਜਾ

spring-web:3.0.5
CVE-2020-5398
ਸੱਚ,

NVD ਵਿੱਚ CVE ਕਹਿੰਦਾ ਹੈ ਕਿ ਇਹ ਸਿਰਫ 5.2 ਤੋਂ ਪਹਿਲਾਂ ਦੇ 5.2.3.x, 5.1 ਤੋਂ ਪਹਿਲਾਂ 5.1.13.x, ਅਤੇ 5.0 ਤੋਂ ਪਹਿਲਾਂ ਦੇ 5.0.16.x ਸੰਸਕਰਣਾਂ 'ਤੇ ਲਾਗੂ ਹੁੰਦਾ ਹੈ, ਹਾਲਾਂਕਿ, ਜੇਕਰ ਅਸੀਂ Nexus IQ ਵਿੱਚ CVE ਵਰਣਨ ਨੂੰ ਦੇਖਦੇ ਹਾਂ , ਫਿਰ ਅਸੀਂ ਹੇਠ ਲਿਖਿਆਂ ਨੂੰ ਵੇਖਾਂਗੇ:
ਐਡਵਾਈਜ਼ਰੀ ਡਿਵੀਏਸ਼ਨ ਨੋਟਿਸ: ਸੋਨਾਟਾਈਪ ਸੁਰੱਖਿਆ ਖੋਜ ਟੀਮ ਨੇ ਖੋਜ ਕੀਤੀ ਕਿ ਇਹ ਕਮਜ਼ੋਰੀ ਸੰਸਕਰਣ 3.0.2.RELEASE ਵਿੱਚ ਪੇਸ਼ ਕੀਤੀ ਗਈ ਸੀ ਨਾ ਕਿ 5.0.x ਜਿਵੇਂ ਕਿ ਸਲਾਹ ਵਿੱਚ ਦੱਸਿਆ ਗਿਆ ਹੈ।

ਇਸ ਤੋਂ ਬਾਅਦ ਇਸ ਕਮਜ਼ੋਰੀ ਲਈ ਇੱਕ PoC ਆਉਂਦਾ ਹੈ, ਜੋ ਦੱਸਦਾ ਹੈ ਕਿ ਇਹ ਵਰਜਨ 3.0.5 ਵਿੱਚ ਮੌਜੂਦ ਹੈ।

ਫਰਜ਼ੀ ਨਕਾਰਾਤਮਕ ਨਿਰਭਰਤਾ ਜਾਂਚ ਅਤੇ ਨਿਰਭਰਤਾ ਟਰੈਕ ਨੂੰ ਭੇਜਿਆ ਜਾਂਦਾ ਹੈ।

ਨੰਬਰ XXX

ਆਉ ਨਿਰਭਰਤਾ ਜਾਂਚ ਅਤੇ ਨਿਰਭਰਤਾ ਟਰੈਕ ਲਈ ਗਲਤ ਸਕਾਰਾਤਮਕ ਨੂੰ ਵੇਖੀਏ।

ਨਿਰਭਰਤਾ ਜਾਂਚ ਇਸ ਵਿੱਚ ਬਾਹਰ ਖੜ੍ਹੀ ਹੈ ਕਿ ਇਹ ਉਹਨਾਂ CVEs ਨੂੰ ਦਰਸਾਉਂਦੀ ਹੈ ਜੋ NVD ਵਿੱਚ ਉਹਨਾਂ ਭਾਗਾਂ ਲਈ ਪੂਰੇ ਫਰੇਮਵਰਕ ਵਿੱਚ ਲਾਗੂ ਹੁੰਦੇ ਹਨ ਜਿਹਨਾਂ ਉੱਤੇ ਇਹ CVE ਲਾਗੂ ਨਹੀਂ ਹੁੰਦੇ ਹਨ। ਇਹ CVE-2012-0394, CVE-2013-2115, CVE-2014-0114, CVE-2015-0899, CVE-2015-2992, CVE-2016-1181, CVE-2016-1182, CVE-1.3.8-1.3.8 ਦੀ ਜਾਂਚ ਨਾਲ ਸੰਬੰਧਿਤ ਹੈ, ” ਤੋਂ ਸਟ੍ਰਟਸ-ਟੈਗਲਿਬ:XNUMX ਅਤੇ ਸਟਰਟਸ-ਟਾਈਲਜ਼-XNUMX। ਇਹਨਾਂ ਭਾਗਾਂ ਦਾ CVE ਵਿੱਚ ਦਰਸਾਏ ਗਏ ਸ਼ਬਦਾਂ ਨਾਲ ਕੋਈ ਲੈਣਾ-ਦੇਣਾ ਨਹੀਂ ਹੈ - ਬੇਨਤੀ ਦੀ ਪ੍ਰਕਿਰਿਆ, ਪੰਨਾ ਪ੍ਰਮਾਣਿਕਤਾ, ਅਤੇ ਹੋਰ। ਇਹ ਇਸ ਤੱਥ ਦੇ ਕਾਰਨ ਹੈ ਕਿ ਇਹਨਾਂ CVE ਅਤੇ ਕੰਪੋਨੈਂਟਸ ਵਿੱਚ ਜੋ ਸਮਾਨ ਹੈ ਉਹ ਸਿਰਫ ਫਰੇਮਵਰਕ ਹੈ, ਇਸੇ ਕਰਕੇ ਨਿਰਭਰਤਾ ਜਾਂਚ ਨੇ ਇਸਨੂੰ ਇੱਕ ਕਮਜ਼ੋਰੀ ਮੰਨਿਆ ਹੈ।

ਇਹੀ ਸਥਿਤੀ spring-tx:3.0.5 ਨਾਲ ਹੈ, ਅਤੇ ਸਟਰਟਸ-ਕੋਰ:1.3.8 ਨਾਲ ਵੀ ਇਹੋ ਜਿਹੀ ਸਥਿਤੀ ਹੈ। ਸਟਰਟਸ-ਕੋਰ ਲਈ, ਨਿਰਭਰਤਾ ਜਾਂਚ ਅਤੇ ਨਿਰਭਰਤਾ ਟਰੈਕ ਨੇ ਬਹੁਤ ਸਾਰੀਆਂ ਕਮਜ਼ੋਰੀਆਂ ਲੱਭੀਆਂ ਹਨ ਜੋ ਅਸਲ ਵਿੱਚ ਸਟਰਟਸ2-ਕੋਰ ਲਈ ਲਾਗੂ ਹੁੰਦੀਆਂ ਹਨ, ਜੋ ਕਿ ਜ਼ਰੂਰੀ ਤੌਰ 'ਤੇ ਇੱਕ ਵੱਖਰਾ ਫਰੇਮਵਰਕ ਹੈ। ਇਸ ਕੇਸ ਵਿੱਚ, Nexus IQ ਸਹੀ ਢੰਗ ਨਾਲ ਤਸਵੀਰ ਨੂੰ ਸਮਝਦਾ ਹੈ ਅਤੇ ਇਸ ਦੁਆਰਾ ਜਾਰੀ ਕੀਤੇ ਗਏ CVE ਵਿੱਚ, ਇਹ ਸੰਕੇਤ ਦਿੰਦਾ ਹੈ ਕਿ ਸਟਰਟਸ-ਕੋਰ ਜੀਵਨ ਦੇ ਅੰਤ ਵਿੱਚ ਪਹੁੰਚ ਗਿਆ ਸੀ ਅਤੇ ਸਟਰਟਸ2-ਕੋਰ ਵਿੱਚ ਜਾਣਾ ਜ਼ਰੂਰੀ ਸੀ।

ਨੰਬਰ XXX

ਕੁਝ ਸਥਿਤੀਆਂ ਵਿੱਚ, ਇੱਕ ਸਪੱਸ਼ਟ ਨਿਰਭਰਤਾ ਜਾਂਚ ਅਤੇ ਨਿਰਭਰਤਾ ਟਰੈਕ ਗਲਤੀ ਦੀ ਵਿਆਖਿਆ ਕਰਨਾ ਗਲਤ ਹੈ। ਖਾਸ ਤੌਰ 'ਤੇ CVE-2013-4152, CVE-2013-6429, CVE-2013-6430, CVE-2013-7315, CVE-2014-0054, CVE-2014-0225, CVE-2014-0225, CVE-3.0.5, ਟ੍ਰੈਕ 3.0.5-XNUMX ਅਤੇ ਡੀ.ਪੀ. ਸਪਰਿੰਗ-ਕੋਰ: XNUMX ਨਾਲ ਸੰਬੰਧਿਤ ਅਸਲ ਵਿੱਚ ਸਪਰਿੰਗ-ਵੈਬ: XNUMX ਨਾਲ ਸਬੰਧਤ ਹੈ। ਉਸੇ ਸਮੇਂ, ਇਹਨਾਂ ਵਿੱਚੋਂ ਕੁਝ CVEs Nexus IQ ਦੁਆਰਾ ਵੀ ਲੱਭੇ ਗਏ ਸਨ, ਹਾਲਾਂਕਿ, IQ ਨੇ ਉਹਨਾਂ ਨੂੰ ਕਿਸੇ ਹੋਰ ਹਿੱਸੇ ਲਈ ਸਹੀ ਢੰਗ ਨਾਲ ਪਛਾਣਿਆ। ਕਿਉਂਕਿ ਇਹ ਕਮਜ਼ੋਰੀਆਂ ਸਪਰਿੰਗ-ਕੋਰ ਵਿੱਚ ਨਹੀਂ ਲੱਭੀਆਂ ਗਈਆਂ ਸਨ, ਇਸ ਲਈ ਇਹ ਦਲੀਲ ਨਹੀਂ ਦਿੱਤੀ ਜਾ ਸਕਦੀ ਹੈ ਕਿ ਉਹ ਸਿਧਾਂਤਕ ਰੂਪ ਵਿੱਚ ਢਾਂਚੇ ਵਿੱਚ ਨਹੀਂ ਹਨ ਅਤੇ ਓਪਨ ਸੋਰਸ ਟੂਲਸ ਨੇ ਇਹਨਾਂ ਕਮਜ਼ੋਰੀਆਂ ਨੂੰ ਸਹੀ ਢੰਗ ਨਾਲ ਦਰਸਾਇਆ ਹੈ (ਉਹ ਥੋੜਾ ਜਿਹਾ ਖੁੰਝ ਗਏ ਹਨ)।

ਸਿੱਟਾ

ਜਿਵੇਂ ਕਿ ਅਸੀਂ ਦੇਖ ਸਕਦੇ ਹਾਂ, ਦਸਤੀ ਸਮੀਖਿਆ ਦੁਆਰਾ ਪਛਾਣੀਆਂ ਗਈਆਂ ਕਮਜ਼ੋਰੀਆਂ ਦੀ ਭਰੋਸੇਯੋਗਤਾ ਨੂੰ ਨਿਰਧਾਰਤ ਕਰਨਾ ਅਸਪਸ਼ਟ ਨਤੀਜੇ ਨਹੀਂ ਦਿੰਦਾ ਹੈ, ਜਿਸ ਕਾਰਨ ਵਿਵਾਦਪੂਰਨ ਮੁੱਦੇ ਪੈਦਾ ਹੁੰਦੇ ਹਨ। ਨਤੀਜੇ ਇਹ ਹਨ ਕਿ Nexus IQ ਹੱਲ ਵਿੱਚ ਸਭ ਤੋਂ ਘੱਟ ਗਲਤ ਸਕਾਰਾਤਮਕ ਦਰ ਅਤੇ ਸਭ ਤੋਂ ਵੱਧ ਸ਼ੁੱਧਤਾ ਹੈ।

ਸਭ ਤੋਂ ਪਹਿਲਾਂ, ਇਹ ਇਸ ਤੱਥ ਦੇ ਕਾਰਨ ਹੈ ਕਿ ਸੋਨਾਟਾਈਪ ਟੀਮ ਨੇ ਆਪਣੇ ਡੇਟਾਬੇਸ ਵਿੱਚ NVD ਤੋਂ ਹਰੇਕ CVE ਕਮਜ਼ੋਰੀ ਲਈ ਵਰਣਨ ਦਾ ਵਿਸਤਾਰ ਕੀਤਾ ਹੈ, ਜੋ ਕਿ ਕਲਾਸ ਜਾਂ ਫੰਕਸ਼ਨ ਦੇ ਭਾਗਾਂ ਦੇ ਕਿਸੇ ਖਾਸ ਸੰਸਕਰਣ ਲਈ ਕਮਜ਼ੋਰੀਆਂ ਨੂੰ ਦਰਸਾਉਂਦਾ ਹੈ, ਵਾਧੂ ਖੋਜ (ਉਦਾਹਰਨ ਲਈ) , ਪੁਰਾਣੇ ਸਾਫਟਵੇਅਰ ਸੰਸਕਰਣਾਂ 'ਤੇ ਕਮਜ਼ੋਰੀਆਂ ਦੀ ਜਾਂਚ ਕਰਨਾ)।

ਨਤੀਜਿਆਂ 'ਤੇ ਇੱਕ ਮਹੱਤਵਪੂਰਣ ਪ੍ਰਭਾਵ ਉਹਨਾਂ ਕਮਜ਼ੋਰੀਆਂ ਦੁਆਰਾ ਵੀ ਖੇਡਿਆ ਜਾਂਦਾ ਹੈ ਜੋ NVD ਵਿੱਚ ਸ਼ਾਮਲ ਨਹੀਂ ਸਨ, ਪਰ ਫਿਰ ਵੀ ਸੋਨਾਟਾਈਪ ਮਾਰਕ ਦੇ ਨਾਲ ਸੋਨਾਟਾਈਪ ਡੇਟਾਬੇਸ ਵਿੱਚ ਮੌਜੂਦ ਹਨ। ਰਿਪੋਰਟ ਦੇ ਅਨੁਸਾਰ ਓਪਨ ਸੋਰਸ ਸੁਰੱਖਿਆ ਕਮਜ਼ੋਰੀ 2020 ਦੀ ਸਥਿਤੀ ਖੋਜੀਆਂ ਗਈਆਂ 45% ਓਪਨ ਸੋਰਸ ਕਮਜ਼ੋਰੀਆਂ ਦੀ NVD ਨੂੰ ਰਿਪੋਰਟ ਨਹੀਂ ਕੀਤੀ ਗਈ ਹੈ। ਵ੍ਹਾਈਟਸੋਰਸ ਡੇਟਾਬੇਸ ਦੇ ਅਨੁਸਾਰ, NVD ਤੋਂ ਬਾਹਰ ਰਿਪੋਰਟ ਕੀਤੀਆਂ ਗਈਆਂ ਸਾਰੀਆਂ ਓਪਨ ਸੋਰਸ ਕਮਜ਼ੋਰੀਆਂ ਵਿੱਚੋਂ ਸਿਰਫ 29% ਉੱਥੇ ਪ੍ਰਕਾਸ਼ਿਤ ਹੁੰਦੀਆਂ ਹਨ, ਇਸ ਲਈ ਹੋਰ ਸਰੋਤਾਂ ਵਿੱਚ ਵੀ ਕਮਜ਼ੋਰੀਆਂ ਦੀ ਭਾਲ ਕਰਨਾ ਮਹੱਤਵਪੂਰਨ ਹੈ।

ਨਤੀਜੇ ਵਜੋਂ, ਨਿਰਭਰਤਾ ਜਾਂਚ ਬਹੁਤ ਜ਼ਿਆਦਾ ਸ਼ੋਰ ਪੈਦਾ ਕਰਦੀ ਹੈ, ਜਿਸ ਵਿੱਚ ਕੁਝ ਕਮਜ਼ੋਰ ਹਿੱਸੇ ਗੁੰਮ ਹੁੰਦੇ ਹਨ। ਨਿਰਭਰਤਾ ਟਰੈਕ ਘੱਟ ਸ਼ੋਰ ਪੈਦਾ ਕਰਦਾ ਹੈ ਅਤੇ ਵੱਡੀ ਗਿਣਤੀ ਵਿੱਚ ਭਾਗਾਂ ਦਾ ਪਤਾ ਲਗਾਉਂਦਾ ਹੈ, ਜੋ ਵੈਬ ਇੰਟਰਫੇਸ ਵਿੱਚ ਅੱਖਾਂ ਨੂੰ ਨੇਤਰਹੀਣ ਤੌਰ 'ਤੇ ਨੁਕਸਾਨ ਨਹੀਂ ਪਹੁੰਚਾਉਂਦਾ।

ਹਾਲਾਂਕਿ, ਅਭਿਆਸ ਦਿਖਾਉਂਦਾ ਹੈ ਕਿ ਓਪਨ ਸੋਰਸ ਨੂੰ ਪਰਿਪੱਕ DevSecOps ਵੱਲ ਪਹਿਲਾ ਕਦਮ ਬਣਨਾ ਚਾਹੀਦਾ ਹੈ। SCA ਨੂੰ ਵਿਕਾਸ ਵਿੱਚ ਏਕੀਕ੍ਰਿਤ ਕਰਨ ਵੇਲੇ ਤੁਹਾਨੂੰ ਸਭ ਤੋਂ ਪਹਿਲਾਂ ਜਿਸ ਬਾਰੇ ਸੋਚਣਾ ਚਾਹੀਦਾ ਹੈ ਉਹ ਹੈ ਪ੍ਰਕਿਰਿਆਵਾਂ, ਅਰਥਾਤ, ਪ੍ਰਬੰਧਨ ਅਤੇ ਸੰਬੰਧਿਤ ਵਿਭਾਗਾਂ ਨਾਲ ਮਿਲ ਕੇ ਇਸ ਬਾਰੇ ਸੋਚਣਾ ਕਿ ਤੁਹਾਡੀ ਸੰਸਥਾ ਵਿੱਚ ਆਦਰਸ਼ ਪ੍ਰਕਿਰਿਆਵਾਂ ਕਿਹੋ ਜਿਹੀਆਂ ਹੋਣੀਆਂ ਚਾਹੀਦੀਆਂ ਹਨ। ਇਹ ਸਾਹਮਣੇ ਆ ਸਕਦਾ ਹੈ ਕਿ ਤੁਹਾਡੀ ਸੰਸਥਾ ਲਈ, ਪਹਿਲਾਂ, ਨਿਰਭਰਤਾ ਜਾਂਚ ਜਾਂ ਨਿਰਭਰਤਾ ਟਰੈਕ ਸਾਰੀਆਂ ਵਪਾਰਕ ਜ਼ਰੂਰਤਾਂ ਨੂੰ ਕਵਰ ਕਰੇਗਾ, ਅਤੇ ਵਿਕਸਤ ਕੀਤੇ ਜਾ ਰਹੇ ਐਪਲੀਕੇਸ਼ਨਾਂ ਦੀ ਵਧਦੀ ਗੁੰਝਲਤਾ ਦੇ ਕਾਰਨ ਐਂਟਰਪ੍ਰਾਈਜ਼ ਹੱਲ ਇੱਕ ਤਰਕਪੂਰਨ ਨਿਰੰਤਰਤਾ ਹੋਣਗੇ।

ਅੰਤਿਕਾ A: ਕੰਪੋਨੈਂਟ ਨਤੀਜੇ
ਦੰਤਕਥਾ:

• ਕੰਪੋਨੈਂਟ ਵਿੱਚ ਉੱਚ-ਉੱਚ ਅਤੇ ਨਾਜ਼ੁਕ ਪੱਧਰ ਦੀਆਂ ਕਮਜ਼ੋਰੀਆਂ
• ਮੱਧਮ — ਕੰਪੋਨੈਂਟ ਵਿੱਚ ਮੱਧਮ ਗੰਭੀਰਤਾ ਪੱਧਰ ਦੀਆਂ ਕਮਜ਼ੋਰੀਆਂ
• ਸੱਚਾ - ਸੱਚਾ ਸਕਾਰਾਤਮਕ ਮੁੱਦਾ
• FALSE — ਗਲਤ ਸਕਾਰਾਤਮਕ ਮੁੱਦਾ

ਭਾਗ
Nexus IQ
ਨਿਰਭਰਤਾ ਜਾਂਚ
ਨਿਰਭਰਤਾ ਟਰੈਕ
ਇਸ ਦਾ ਨਤੀਜਾ

dom4j: 1.6.1
ਹਾਈ
ਹਾਈ
ਹਾਈ
ਸੱਚ,

log4j-core: 2.3
ਹਾਈ
ਹਾਈ
ਹਾਈ
ਸੱਚ,

log4j: 1.2.14
ਹਾਈ
ਹਾਈ
-
ਸੱਚ,

ਆਮ-ਸੰਗ੍ਰਹਿ: 3.1
ਹਾਈ
ਹਾਈ
ਹਾਈ
ਸੱਚ,

commons-fileupload:1.3.2
ਹਾਈ
ਹਾਈ
ਹਾਈ
ਸੱਚ,

commons-beanutils: 1.7.0
ਹਾਈ
ਹਾਈ
ਹਾਈ
ਸੱਚ,

commons-codec:1:10
ਦਰਮਿਆਨੇ
-
-
ਸੱਚ,

mysql-connector-java:5.1.42
ਹਾਈ
ਹਾਈ
ਹਾਈ
ਸੱਚ,

ਬਸੰਤ-ਪ੍ਰਗਟਾਵੇ: 3.0.5
ਹਾਈ
ਕੰਪੋਨੈਂਟ ਨਹੀਂ ਮਿਲਿਆ

ਸੱਚ,

spring-web:3.0.5
ਹਾਈ
ਕੰਪੋਨੈਂਟ ਨਹੀਂ ਮਿਲਿਆ
ਹਾਈ
ਸੱਚ,

ਬਸੰਤ-ਪ੍ਰਸੰਗ: 3.0.5
ਦਰਮਿਆਨੇ
ਕੰਪੋਨੈਂਟ ਨਹੀਂ ਮਿਲਿਆ
-
ਸੱਚ,

ਸਪਰਿੰਗ-ਕੋਰ: 3.0.5
ਦਰਮਿਆਨੇ
ਹਾਈ
ਹਾਈ
ਸੱਚ,

struts2-config-browser-plugin:2.3.30
ਦਰਮਿਆਨੇ
-
-
ਸੱਚ,

spring-tx:3.0.5
-
ਹਾਈ
-
ਗਲਤ

ਸਟਰਟਸ-ਕੋਰ: 1.3.8
ਹਾਈ
ਹਾਈ
ਹਾਈ
ਸੱਚ,

xwork-core: 2.3.30
ਹਾਈ
-
-
ਸੱਚ,

struts2-core: 2.3.30
ਹਾਈ
ਹਾਈ
ਹਾਈ
ਸੱਚ,

ਸਟਰਟਸ-ਟੈਗਲਿਬ: 1.3.8
-
ਹਾਈ
-
ਗਲਤ

struts-tiles-1.3.8
-
ਹਾਈ
-
ਗਲਤ

ਅੰਤਿਕਾ B: ਕਮਜ਼ੋਰੀ ਦੇ ਨਤੀਜੇ
ਦੰਤਕਥਾ:

• ਕੰਪੋਨੈਂਟ ਵਿੱਚ ਉੱਚ-ਉੱਚ ਅਤੇ ਨਾਜ਼ੁਕ ਪੱਧਰ ਦੀਆਂ ਕਮਜ਼ੋਰੀਆਂ
• ਮੱਧਮ — ਕੰਪੋਨੈਂਟ ਵਿੱਚ ਮੱਧਮ ਗੰਭੀਰਤਾ ਪੱਧਰ ਦੀਆਂ ਕਮਜ਼ੋਰੀਆਂ
• ਸੱਚਾ - ਸੱਚਾ ਸਕਾਰਾਤਮਕ ਮੁੱਦਾ
• FALSE — ਗਲਤ ਸਕਾਰਾਤਮਕ ਮੁੱਦਾ

ਭਾਗ
Nexus IQ
ਨਿਰਭਰਤਾ ਜਾਂਚ
ਨਿਰਭਰਤਾ ਟਰੈਕ
ਤੀਬਰਤਾ
ਇਸ ਦਾ ਨਤੀਜਾ
ਟਿੱਪਣੀ

dom4j: 1.6.1
CVE-2018-1000632
CVE-2018-1000632
CVE-2018-1000632
ਹਾਈ
ਸੱਚ,

CVE-2020-10683
CVE-2020-10683
CVE-2020-10683
ਹਾਈ
ਸੱਚ,

log4j-core: 2.3
CVE-2017-5645
CVE-2017-5645
CVE-2017-5645
ਹਾਈ
ਸੱਚ,

CVE-2020-9488
CVE-2020-9488
CVE-2020-9488
ਖੋਜੋ wego.co.in
ਸੱਚ,

log4j: 1.2.14
CVE-2019-17571
CVE-2019-17571
-
ਹਾਈ
ਸੱਚ,

-
CVE-2020-9488
-
ਖੋਜੋ wego.co.in
ਸੱਚ,

SONATYPE-2010-0053
-
-
ਹਾਈ
ਸੱਚ,

ਆਮ-ਸੰਗ੍ਰਹਿ: 3.1
-
CVE-2015-6420
CVE-2015-6420
ਹਾਈ
ਗਲਤ
ਡੁਪਲੀਕੇਟ RCE(OSSINDEX)

-
CVE-2017-15708
CVE-2017-15708
ਹਾਈ
ਗਲਤ
ਡੁਪਲੀਕੇਟ RCE(OSSINDEX)

SONATYPE-2015-0002
RCE (OSSINDEX)
RCE(OSSINDEX)
ਹਾਈ
ਸੱਚ,

commons-fileupload:1.3.2
CVE-2016-1000031
CVE-2016-1000031
CVE-2016-1000031
ਹਾਈ
ਸੱਚ,

SONATYPE-2014-0173
-
-
ਦਰਮਿਆਨੇ
ਸੱਚ,

commons-beanutils: 1.7.0
CVE-2014-0114
CVE-2014-0114
CVE-2014-0114
ਹਾਈ
ਸੱਚ,

-
CVE-2019-10086
CVE-2019-10086
ਹਾਈ
ਗਲਤ
ਕਮਜ਼ੋਰੀ ਸਿਰਫ਼ ਵਰਜਨ 1.9.2+ 'ਤੇ ਲਾਗੂ ਹੁੰਦੀ ਹੈ

commons-codec:1:10
SONATYPE-2012-0050
-
-
ਦਰਮਿਆਨੇ
ਸੱਚ,

mysql-connector-java:5.1.42
CVE-2018-3258
CVE-2018-3258
CVE-2018-3258
ਹਾਈ
ਸੱਚ,

CVE-2019-2692
CVE-2019-2692
-
ਦਰਮਿਆਨੇ
ਸੱਚ,

-
CVE-2020-2875
-
ਦਰਮਿਆਨੇ
ਗਲਤ
CVE-2019-2692 ਵਰਗੀ ਹੀ ਕਮਜ਼ੋਰੀ, ਪਰ ਨੋਟ ਦੇ ਨਾਲ "ਹਮਲੇ ਵਾਧੂ ਉਤਪਾਦਾਂ ਨੂੰ ਮਹੱਤਵਪੂਰਣ ਰੂਪ ਵਿੱਚ ਪ੍ਰਭਾਵਿਤ ਕਰ ਸਕਦੇ ਹਨ"

-
CVE-2017-15945
-
ਹਾਈ
ਗਲਤ
mysql-connector-java ਨਾਲ ਸੰਬੰਧਿਤ ਨਹੀਂ ਹੈ

-
CVE-2020-2933
-
ਖੋਜੋ wego.co.in
ਗਲਤ
CVE-2020-2934 ਦਾ ਡੁਪਲੀਕੇਟ

CVE-2020-2934
CVE-2020-2934
-
ਦਰਮਿਆਨੇ
ਸੱਚ,

ਬਸੰਤ-ਪ੍ਰਗਟਾਵੇ: 3.0.5
CVE-2018-1270
ਕੰਪੋਨੈਂਟ ਨਹੀਂ ਮਿਲਿਆ
-
ਹਾਈ
ਸੱਚ,

CVE-2018-1257
-
-
ਦਰਮਿਆਨੇ
ਸੱਚ,

spring-web:3.0.5
CVE-2016-1000027
ਕੰਪੋਨੈਂਟ ਨਹੀਂ ਮਿਲਿਆ
-
ਹਾਈ
ਸੱਚ,

CVE-2014-0225
-
CVE-2014-0225
ਹਾਈ
ਸੱਚ,

CVE-2011-2730
-
-
ਹਾਈ
ਸੱਚ,

-
-
CVE-2013-4152
ਦਰਮਿਆਨੇ
ਸੱਚ,

CVE-2018-1272
-
-
ਹਾਈ
ਸੱਚ,

CVE-2020-5398
-
-
ਹਾਈ
ਸੱਚ,
IQ ਦੇ ਹੱਕ ਵਿੱਚ ਇੱਕ ਮਿਸਾਲੀ ਉਦਾਹਰਣ: "ਸੋਨਾਟਾਈਪ ਸੁਰੱਖਿਆ ਖੋਜ ਟੀਮ ਨੇ ਖੋਜ ਕੀਤੀ ਕਿ ਇਹ ਕਮਜ਼ੋਰੀ ਸੰਸਕਰਣ 3.0.2. ਰੀਲੀਜ਼ ਵਿੱਚ ਪੇਸ਼ ਕੀਤੀ ਗਈ ਸੀ ਨਾ ਕਿ 5.0.x ਜਿਵੇਂ ਕਿ ਸਲਾਹਕਾਰ ਵਿੱਚ ਦੱਸਿਆ ਗਿਆ ਹੈ।"

CVE-2013-6429
-
-
ਦਰਮਿਆਨੇ
ਸੱਚ,

CVE-2014-0054
-
CVE-2014-0054
ਦਰਮਿਆਨੇ
ਸੱਚ,

CVE-2013-6430
-
-
ਦਰਮਿਆਨੇ
ਸੱਚ,

ਬਸੰਤ-ਪ੍ਰਸੰਗ: 3.0.5
CVE-2011-2894
ਕੰਪੋਨੈਂਟ ਨਹੀਂ ਮਿਲਿਆ
-
ਦਰਮਿਆਨੇ
ਸੱਚ,

ਸਪਰਿੰਗ-ਕੋਰ: 3.0.5
-
CVE-2011-2730
CVE-2011-2730
ਹਾਈ
ਸੱਚ,

CVE-2011-2894
CVE-2011-2894
CVE-2011-2894
ਦਰਮਿਆਨੇ
ਸੱਚ,

-
-
CVE-2013-4152
ਦਰਮਿਆਨੇ
ਗਲਤ
ਸਪਰਿੰਗ-ਵੈੱਬ ਵਿੱਚ ਉਸੇ ਕਮਜ਼ੋਰੀ ਦਾ ਡੁਪਲੀਕੇਟ

-
CVE-2013-4152
-
ਦਰਮਿਆਨੇ
ਗਲਤ
ਕਮਜ਼ੋਰੀ ਸਪਰਿੰਗ-ਵੈਬ ਕੰਪੋਨੈਂਟ ਨਾਲ ਸਬੰਧਤ ਹੈ

-
CVE-2013-6429
CVE-2013-6429
ਦਰਮਿਆਨੇ
ਗਲਤ
ਕਮਜ਼ੋਰੀ ਸਪਰਿੰਗ-ਵੈਬ ਕੰਪੋਨੈਂਟ ਨਾਲ ਸਬੰਧਤ ਹੈ

-
CVE-2013-6430
-
ਦਰਮਿਆਨੇ
ਗਲਤ
ਕਮਜ਼ੋਰੀ ਸਪਰਿੰਗ-ਵੈਬ ਕੰਪੋਨੈਂਟ ਨਾਲ ਸਬੰਧਤ ਹੈ

-
CVE-2013-7315
CVE-2013-7315
ਦਰਮਿਆਨੇ
ਗਲਤ
CVE-2013-4152 ਤੋਂ ਸਪਲਿਟ। + ਕਮਜ਼ੋਰੀ ਸਪਰਿੰਗ-ਵੈਬ ਕੰਪੋਨੈਂਟ ਨਾਲ ਸਬੰਧਤ ਹੈ

-
CVE-2014-0054
CVE-2014-0054
ਦਰਮਿਆਨੇ
ਗਲਤ
ਕਮਜ਼ੋਰੀ ਸਪਰਿੰਗ-ਵੈਬ ਕੰਪੋਨੈਂਟ ਨਾਲ ਸਬੰਧਤ ਹੈ

-
CVE-2014-0225
-
ਹਾਈ
ਗਲਤ
ਕਮਜ਼ੋਰੀ ਸਪਰਿੰਗ-ਵੈਬ ਕੰਪੋਨੈਂਟ ਨਾਲ ਸਬੰਧਤ ਹੈ

-
-
CVE-2014-0225
ਹਾਈ
ਗਲਤ
ਸਪਰਿੰਗ-ਵੈੱਬ ਵਿੱਚ ਉਸੇ ਕਮਜ਼ੋਰੀ ਦਾ ਡੁਪਲੀਕੇਟ

-
CVE-2014-1904
CVE-2014-1904
ਦਰਮਿਆਨੇ
ਗਲਤ
ਕਮਜ਼ੋਰੀ spring-web-mvc ਕੰਪੋਨੈਂਟ ਨਾਲ ਸਬੰਧਤ ਹੈ

-
CVE-2014-3625
CVE-2014-3625
ਦਰਮਿਆਨੇ
ਗਲਤ
ਕਮਜ਼ੋਰੀ spring-web-mvc ਕੰਪੋਨੈਂਟ ਨਾਲ ਸਬੰਧਤ ਹੈ

-
CVE-2016-9878
CVE-2016-9878
ਹਾਈ
ਗਲਤ
ਕਮਜ਼ੋਰੀ spring-web-mvc ਕੰਪੋਨੈਂਟ ਨਾਲ ਸਬੰਧਤ ਹੈ

-
CVE-2018-1270
CVE-2018-1270
ਹਾਈ
ਗਲਤ
ਬਸੰਤ-ਪ੍ਰਗਟਾਵੇ/ਬਸੰਤ-ਸੁਨੇਹਿਆਂ ਲਈ

-
CVE-2018-1271
CVE-2018-1271
ਦਰਮਿਆਨੇ
ਗਲਤ
ਕਮਜ਼ੋਰੀ spring-web-mvc ਕੰਪੋਨੈਂਟ ਨਾਲ ਸਬੰਧਤ ਹੈ

-
CVE-2018-1272
CVE-2018-1272
ਹਾਈ
ਸੱਚ,

CVE-2014-3578
CVE-2014-3578 (OSSINDEX)
CVE-2014-3578
ਦਰਮਿਆਨੇ
ਸੱਚ,

SONATYPE-2015-0327
-
-
ਖੋਜੋ wego.co.in
ਸੱਚ,

struts2-config-browser-plugin:2.3.30
SONATYPE-2016-0104
-
-
ਦਰਮਿਆਨੇ
ਸੱਚ,

spring-tx:3.0.5
-
CVE-2011-2730
-
ਹਾਈ
ਗਲਤ
ਕਮਜ਼ੋਰੀ spring-tx ਲਈ ਖਾਸ ਨਹੀਂ ਹੈ

-
CVE-2011-2894
-
ਹਾਈ
ਗਲਤ
ਕਮਜ਼ੋਰੀ spring-tx ਲਈ ਖਾਸ ਨਹੀਂ ਹੈ

-
CVE-2013-4152
-
ਦਰਮਿਆਨੇ
ਗਲਤ
ਕਮਜ਼ੋਰੀ spring-tx ਲਈ ਖਾਸ ਨਹੀਂ ਹੈ

-
CVE-2013-6429
-
ਦਰਮਿਆਨੇ
ਗਲਤ
ਕਮਜ਼ੋਰੀ spring-tx ਲਈ ਖਾਸ ਨਹੀਂ ਹੈ

-
CVE-2013-6430
-
ਦਰਮਿਆਨੇ
ਗਲਤ
ਕਮਜ਼ੋਰੀ spring-tx ਲਈ ਖਾਸ ਨਹੀਂ ਹੈ

-
CVE-2013-7315
-
ਦਰਮਿਆਨੇ
ਗਲਤ
ਕਮਜ਼ੋਰੀ spring-tx ਲਈ ਖਾਸ ਨਹੀਂ ਹੈ

-
CVE-2014-0054
-
ਦਰਮਿਆਨੇ
ਗਲਤ
ਕਮਜ਼ੋਰੀ spring-tx ਲਈ ਖਾਸ ਨਹੀਂ ਹੈ

-
CVE-2014-0225
-
ਹਾਈ
ਗਲਤ
ਕਮਜ਼ੋਰੀ spring-tx ਲਈ ਖਾਸ ਨਹੀਂ ਹੈ

-
CVE-2014-1904
-
ਦਰਮਿਆਨੇ
ਗਲਤ
ਕਮਜ਼ੋਰੀ spring-tx ਲਈ ਖਾਸ ਨਹੀਂ ਹੈ

-
CVE-2014-3625
-
ਦਰਮਿਆਨੇ
ਗਲਤ
ਕਮਜ਼ੋਰੀ spring-tx ਲਈ ਖਾਸ ਨਹੀਂ ਹੈ

-
CVE-2016-9878
-
ਹਾਈ
ਗਲਤ
ਕਮਜ਼ੋਰੀ spring-tx ਲਈ ਖਾਸ ਨਹੀਂ ਹੈ

-
CVE-2018-1270
-
ਹਾਈ
ਗਲਤ
ਕਮਜ਼ੋਰੀ spring-tx ਲਈ ਖਾਸ ਨਹੀਂ ਹੈ

-
CVE-2018-1271
-
ਦਰਮਿਆਨੇ
ਗਲਤ
ਕਮਜ਼ੋਰੀ spring-tx ਲਈ ਖਾਸ ਨਹੀਂ ਹੈ

-
CVE-2018-1272
-
ਦਰਮਿਆਨੇ
ਗਲਤ
ਕਮਜ਼ੋਰੀ spring-tx ਲਈ ਖਾਸ ਨਹੀਂ ਹੈ

ਸਟਰਟਸ-ਕੋਰ: 1.3.8
-
CVE-2011-5057 (OSSINDEX)

ਦਰਮਿਆਨੇ
FASLE
ਸਟ੍ਰਟਸ ਲਈ ਕਮਜ਼ੋਰੀ 2

-
CVE-2012-0391 (OSSINDEX)
CVE-2012-0391
ਹਾਈ
ਗਲਤ
ਸਟ੍ਰਟਸ ਲਈ ਕਮਜ਼ੋਰੀ 2

-
CVE-2014-0094 (OSSINDEX)
CVE-2014-0094
ਦਰਮਿਆਨੇ
ਗਲਤ
ਸਟ੍ਰਟਸ ਲਈ ਕਮਜ਼ੋਰੀ 2

-
CVE-2014-0113 (OSSINDEX)
CVE-2014-0113
ਹਾਈ
ਗਲਤ
ਸਟ੍ਰਟਸ ਲਈ ਕਮਜ਼ੋਰੀ 2

CVE-2016-1182
3VE-2016-1182
-
ਹਾਈ
ਸੱਚ,

-
-
CVE-2011-5057
ਦਰਮਿਆਨੇ
ਗਲਤ
ਸਟ੍ਰਟਸ ਲਈ ਕਮਜ਼ੋਰੀ 2

-
CVE-2012-0392 (OSSINDEX)
CVE-2012-0392
ਹਾਈ
ਗਲਤ
ਸਟ੍ਰਟਸ ਲਈ ਕਮਜ਼ੋਰੀ 2

-
CVE-2012-0393 (OSSINDEX)
CVE-2012-0393
ਦਰਮਿਆਨੇ
ਗਲਤ
ਸਟ੍ਰਟਸ ਲਈ ਕਮਜ਼ੋਰੀ 2

CVE-2015-0899
CVE-2015-0899
-
ਹਾਈ
ਸੱਚ,

-
CVE-2012-0394
CVE-2012-0394
ਦਰਮਿਆਨੇ
ਗਲਤ
ਸਟ੍ਰਟਸ ਲਈ ਕਮਜ਼ੋਰੀ 2

-
CVE-2012-0838 (OSSINDEX)
CVE-2012-0838
ਹਾਈ
ਗਲਤ
ਸਟ੍ਰਟਸ ਲਈ ਕਮਜ਼ੋਰੀ 2

-
CVE-2013-1965 (OSSINDEX)
CVE-2013-1965
ਹਾਈ
ਗਲਤ
ਸਟ੍ਰਟਸ ਲਈ ਕਮਜ਼ੋਰੀ 2

-
CVE-2013-1966 (OSSINDEX)
CVE-2013-1966
ਹਾਈ
FASLE
ਸਟ੍ਰਟਸ ਲਈ ਕਮਜ਼ੋਰੀ 2

-
CVE-2013-2115
CVE-2013-2115
ਹਾਈ
FASLE
ਸਟ੍ਰਟਸ ਲਈ ਕਮਜ਼ੋਰੀ 2

-
CVE-2013-2134 (OSSINDEX)
CVE-2013-2134
ਹਾਈ
FASLE
ਸਟ੍ਰਟਸ ਲਈ ਕਮਜ਼ੋਰੀ 2

-
CVE-2013-2135 (OSSINDEX)
CVE-2013-2135
ਹਾਈ
FASLE
ਸਟ੍ਰਟਸ ਲਈ ਕਮਜ਼ੋਰੀ 2

CVE-2014-0114
CVE-2014-0114
-
ਹਾਈ
ਸੱਚ,

-
CVE-2015-2992
CVE-2015-2992
ਦਰਮਿਆਨੇ
ਗਲਤ
ਸਟ੍ਰਟਸ ਲਈ ਕਮਜ਼ੋਰੀ 2

-
CVE-2016-0785 (OSSINDEX)
CVE-2016-0785
ਹਾਈ
ਗਲਤ
ਸਟ੍ਰਟਸ ਲਈ ਕਮਜ਼ੋਰੀ 2

CVE-2016-1181
CVE-2016-1181
-
ਹਾਈ
ਸੱਚ,

-
CVE-2016-4003 (OSSINDEX)
CVE-2016-4003
ਹਾਈ
ਗਲਤ
ਸਟ੍ਰਟਸ ਲਈ ਕਮਜ਼ੋਰੀ 2

xwork-core:2.3.30
CVE-2017-9804
-
-
ਹਾਈ
ਸੱਚ,

SONATYPE-2017-0173
-
-
ਹਾਈ
ਸੱਚ,

CVE-2017-7672
-
-
ਹਾਈ
ਗਲਤ
CVE-2017-9804 ਦਾ ਡੁਪਲੀਕੇਟ

SONATYPE-2016-0127
-
-
ਹਾਈ
ਸੱਚ,

ਸਟਰਟਸ2-ਕੋਰ: 2.3.30
-
CVE-2016-6795
CVE-2016-6795
ਹਾਈ
ਸੱਚ,

-
CVE-2017-9787
CVE-2017-9787
ਹਾਈ
ਸੱਚ,

-
CVE-2017-9791
CVE-2017-9791
ਹਾਈ
ਸੱਚ,

-
CVE-2017-9793
-
ਹਾਈ
ਗਲਤ
CVE-2018-1327 ਦਾ ਡੁਪਲੀਕੇਟ

-
CVE-2017-9804
-
ਹਾਈ
ਸੱਚ,

-
CVE-2017-9805
CVE-2017-9805
ਹਾਈ
ਸੱਚ,

CVE-2016-4003
-
-
ਦਰਮਿਆਨੇ
ਗਲਤ
Apache Struts 2.x ਲਈ 2.3.28 ਤੱਕ ਲਾਗੂ ਹੈ, ਜੋ ਕਿ ਵਰਜਨ 2.3.30 ਹੈ। ਹਾਲਾਂਕਿ, ਵਰਣਨ ਦੇ ਆਧਾਰ 'ਤੇ, CVE ਸਟ੍ਰਟਸ 2 ਦੇ ਕਿਸੇ ਵੀ ਸੰਸਕਰਣ ਲਈ ਵੈਧ ਹੈ ਜੇਕਰ JRE 1.7 ਜਾਂ ਘੱਟ ਵਰਤਿਆ ਜਾਂਦਾ ਹੈ। ਜ਼ਾਹਰ ਤੌਰ 'ਤੇ ਉਨ੍ਹਾਂ ਨੇ ਇੱਥੇ ਸਾਡਾ ਮੁੜ ਬੀਮਾ ਕਰਨ ਦਾ ਫੈਸਲਾ ਕੀਤਾ, ਪਰ ਇਹ ਗਲਤ ਲੱਗ ਰਿਹਾ ਹੈ

-
CVE-2018-1327
CVE-2018-1327
ਹਾਈ
ਸੱਚ,

CVE-2017-5638
CVE-2017-5638
CVE-2017-5638
ਹਾਈ
ਸੱਚ,
ਉਹੀ ਕਮਜ਼ੋਰੀ ਜਿਸਦਾ Equifax ਹੈਕਰਾਂ ਨੇ 2017 ਵਿੱਚ ਸ਼ੋਸ਼ਣ ਕੀਤਾ ਸੀ

CVE-2017-12611
CVE-2017-12611
-
ਹਾਈ
ਸੱਚ,

CVE-2018-11776
CVE-2018-11776
CVE-2018-11776
ਹਾਈ
ਸੱਚ,

ਸਟਰਟਸ-ਟੈਗਲਿਬ: 1.3.8
-
CVE-2012-0394
-
ਦਰਮਿਆਨੇ
ਗਲਤ
ਸਟਰਟਸ2-ਕੋਰ ਲਈ

-
CVE-2013-2115
-
ਹਾਈ
ਗਲਤ
ਸਟਰਟਸ2-ਕੋਰ ਲਈ

-
CVE-2014-0114
-
ਹਾਈ
ਗਲਤ
ਕਾਮਨਜ਼-ਬੀਨਟੀਲਾਂ ਲਈ

-
CVE-2015-0899
-
ਹਾਈ
ਗਲਤ
ਟੈਗਲਿਬ 'ਤੇ ਲਾਗੂ ਨਹੀਂ ਹੁੰਦਾ

-
CVE-2015-2992
-
ਦਰਮਿਆਨੇ
ਗਲਤ
ਸਟਰਟਸ2-ਕੋਰ ਦਾ ਹਵਾਲਾ ਦਿੰਦਾ ਹੈ

-
CVE-2016-1181
-
ਹਾਈ
ਗਲਤ
ਟੈਗਲਿਬ 'ਤੇ ਲਾਗੂ ਨਹੀਂ ਹੁੰਦਾ

-
CVE-2016-1182
-
ਹਾਈ
ਗਲਤ
ਟੈਗਲਿਬ 'ਤੇ ਲਾਗੂ ਨਹੀਂ ਹੁੰਦਾ

struts-tiles-1.3.8
-
CVE-2012-0394
-
ਦਰਮਿਆਨੇ
ਗਲਤ
ਸਟਰਟਸ2-ਕੋਰ ਲਈ

-
CVE-2013-2115
-
ਹਾਈ
ਗਲਤ
ਸਟਰਟਸ2-ਕੋਰ ਲਈ

-
CVE-2014-0114
-
ਹਾਈ
ਗਲਤ
ਕਾਮਨਜ਼ ਅਧੀਨ-ਬੀਨਟਿਲਸ

-
CVE-2015-0899
-
ਹਾਈ
ਗਲਤ
ਟਾਈਲਾਂ 'ਤੇ ਲਾਗੂ ਨਹੀਂ ਹੁੰਦਾ

-
CVE-2015-2992
-
ਦਰਮਿਆਨੇ
ਗਲਤ
ਸਟਰਟਸ2-ਕੋਰ ਲਈ

-
CVE-2016-1181
-
ਹਾਈ
ਗਲਤ
ਟੈਗਲਿਬ 'ਤੇ ਲਾਗੂ ਨਹੀਂ ਹੁੰਦਾ

-
CVE-2016-1182
-
ਹਾਈ
ਗਲਤ
ਟੈਗਲਿਬ 'ਤੇ ਲਾਗੂ ਨਹੀਂ ਹੁੰਦਾ

ਸਰੋਤ: www.habr.com