{"id":309045,"date":"2020-08-26T15:00:49","date_gmt":"2020-08-26T15:00:49","guid":{"rendered":"http:\/\/savepearlharbor.com\/?p=309045"},"modified":"-0001-11-30T00:00:00","modified_gmt":"2020-08-26T15:00:49","slug":"","status":"publish","type":"post","link":"https:\/\/savepearlharbor.com\/?p=309045","title":{"rendered":"DevSecOps: \u043f\u0440\u0438\u043d\u0446\u0438\u043f\u044b \u0440\u0430\u0431\u043e\u0442\u044b \u0438 \u0441\u0440\u0430\u0432\u043d\u0435\u043d\u0438\u0435 SCA. \u0427\u0430\u0441\u0442\u044c \u043f\u0435\u0440\u0432\u0430\u044f"},"content":{"rendered":"\n<div class=\"post__text post__text-html post__text_v1\" id=\"post-content-body\" data-io-article-url=\"https:\/\/habr.com\/ru\/post\/516660\/\">\u0417\u043d\u0430\u0447\u0438\u043c\u043e\u0441\u0442\u044c \u0430\u043d\u0430\u043b\u0438\u0437\u0430 \u0441\u0442\u043e\u0440\u043e\u043d\u043d\u0438\u0445 \u043a\u043e\u043c\u043f\u043e\u043d\u0435\u043d\u0442\u043e\u0432 \u041f\u041e (\u0430\u043d\u0433\u043b. Software Composition Analysis \u2014 SCA) \u0432 \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u0435 \u0440\u0430\u0437\u0440\u0430\u0431\u043e\u0442\u043a\u0438 \u0440\u0430\u0441\u0442\u0435\u0442 \u043f\u043e \u043c\u0435\u0440\u0435 \u0432\u044b\u0445\u043e\u0434\u0430 \u0435\u0436\u0435\u0433\u043e\u0434\u043d\u044b\u0445 \u043e\u0442\u0447\u0435\u0442\u043e\u0432 \u043e\u0431 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044f\u0445 open source \u0431\u0438\u0431\u043b\u0438\u043e\u0442\u0435\u043a, \u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u043f\u0443\u0431\u043b\u0438\u043a\u0443\u044e\u0442\u0441\u044f \u043a\u043e\u043c\u043f\u0430\u043d\u0438\u044f\u043c\u0438 Synopsys, Sonatype, Snyk, White Source. \u0421\u043e\u0433\u043b\u0430\u0441\u043d\u043e \u043e\u0442\u0447\u0435\u0442\u0443 <a href=\"https:\/\/www.whitesourcesoftware.com\/open-source-vulnerability-management-report\/\">The State of Open Source Security Vulnerabilities 2020<\/a> \u0447\u0438\u0441\u043b\u043e \u0432\u044b\u044f\u0432\u043b\u0435\u043d\u043d\u044b\u0445 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0435\u0439 \u0432 open source \u0432 2019 \u0432\u044b\u0440\u043e\u0441\u043b\u043e \u043f\u043e\u0447\u0442\u0438 \u0432 1.5 \u0440\u0430\u0437\u0430 \u0432 \u0441\u0440\u0430\u0432\u043d\u0435\u043d\u0438\u0438 \u0441 \u043f\u0440\u0435\u0434\u044b\u0434\u0443\u0449\u0438\u043c \u0433\u043e\u0434\u043e\u043c, \u0432 \u0442\u043e \u0432\u0440\u0435\u043c\u044f \u043a\u0430\u043a \u043a\u043e\u043c\u043f\u043e\u043d\u0435\u043d\u0442\u044b \u0441 \u043e\u0442\u043a\u0440\u044b\u0442\u044b\u043c \u043a\u043e\u0434\u043e\u043c \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u044e\u0442\u0441\u044f \u043e\u0442 60% \u0434\u043e 80% \u043f\u0440\u043e\u0435\u043a\u0442\u043e\u0432. \u0415\u0441\u043b\u0438 \u043e\u0431\u0440\u0430\u0442\u0438\u0442\u044c\u0441\u044f \u043a \u043d\u0435\u0437\u0430\u0432\u0438\u0441\u0438\u043c\u043e\u043c\u0443 \u043c\u043d\u0435\u043d\u0438\u044e, \u0442\u043e \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u044b SCA \u044f\u0432\u043b\u044f\u044e\u0442\u0441\u044f \u043e\u0442\u0434\u0435\u043b\u044c\u043d\u043e\u0439 \u043f\u0440\u0430\u043a\u0442\u0438\u043a\u043e\u0439 OWASP SAMM \u0438 BSIMM \u0432 \u043a\u0430\u0447\u0435\u0441\u0442\u0432\u0435 \u043f\u043e\u043a\u0430\u0437\u0430\u0442\u0435\u043b\u044f \u0437\u0440\u0435\u043b\u043e\u0441\u0442\u0438, \u0430 \u0432 \u043f\u0435\u0440\u0432\u043e\u0439 \u043f\u043e\u043b\u043e\u0432\u0438\u043d\u0435 2020 \u0433\u043e\u0434\u0430 OWASP \u0432\u044b\u043f\u0443\u0441\u0442\u0438\u043b\u0430 \u043d\u043e\u0432\u044b\u0439 \u0441\u0442\u0430\u043d\u0434\u0430\u0440\u0442 OWASP Software Component Verification Standard (SCVS), \u043f\u0440\u0435\u0434\u043e\u0441\u0442\u0430\u0432\u043b\u044f\u044e\u0449\u0438\u0439 \u043b\u0443\u0447\u0448\u0438\u0435 \u043f\u0440\u0430\u043a\u0442\u0438\u043a\u0438 \u043f\u043e \u043f\u0440\u043e\u0432\u0435\u0440\u043a\u0435 \u0441\u0442\u043e\u0440\u043e\u043d\u043d\u0438\u0445 \u043a\u043e\u043c\u043f\u043e\u043d\u0435\u043d\u0442 \u0432 \u0446\u0435\u043f\u043e\u0447\u043a\u0435 \u043f\u043e\u0441\u0442\u0430\u0432\u043e\u043a \u041f\u041e.<\/p>\n<p>  <img decoding=\"async\" src=\"https:\/\/habrastorage.org\/webt\/v1\/gs\/li\/v1gsliw5axpmk9yusfgjzoa2cna.jpeg\"\/><br \/>  <a name=\"habracut\"><\/a><br \/>  \u041e\u0434\u0438\u043d \u0438\u0437 \u0441\u0430\u043c\u044b\u0445 \u043f\u043e\u043a\u0430\u0437\u0430\u0442\u0435\u043b\u044c\u043d\u044b\u0445 \u043a\u0435\u0439\u0441\u043e\u0432 <a href=\"https:\/\/xakep.ru\/2017\/09\/14\/equifax-dejstvitelno-vzlomali-cherez-bag-v-apache-struts-no-uyazvimost-okazalas-staroj\/\">\u043f\u0440\u043e\u0438\u0437\u043e\u0448\u0435\u043b<\/a> \u0441 \u043a\u043e\u043c\u043f\u0430\u043d\u0438\u0435\u0439 Equifax \u0432 \u043c\u0430\u0435 2017 \u0433\u043e\u0434\u0430. \u041d\u0435\u0438\u0437\u0432\u0435\u0441\u0442\u043d\u044b\u0435 \u0437\u043b\u043e\u0443\u043c\u044b\u0448\u043b\u0435\u043d\u043d\u0438\u043a\u0438 \u0437\u0430\u0432\u043b\u0430\u0434\u0435\u043b\u0438 \u0438\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u0435\u0439 \u043e 143 \u043c\u043b\u043d. \u0430\u043c\u0435\u0440\u0438\u043a\u0430\u043d\u0446\u0435\u0432, \u0432\u043a\u043b\u044e\u0447\u0430\u044f \u043f\u043e\u043b\u043d\u044b\u0435 \u0438\u043c\u0435\u043d\u0430, \u0430\u0434\u0440\u0435\u0441\u0430, \u043d\u043e\u043c\u0435\u0440\u0430 \u0441\u043e\u0446\u0438\u0430\u043b\u044c\u043d\u043e\u0433\u043e \u0441\u0442\u0440\u0430\u0445\u043e\u0432\u0430\u043d\u0438\u044f \u0438 \u0432\u043e\u0434\u0438\u0442\u0435\u043b\u044c\u0441\u043a\u0438\u0445 \u0443\u0434\u043e\u0441\u0442\u043e\u0432\u0435\u0440\u0435\u043d\u0438\u0439. \u0412 209 000 \u0441\u043b\u0443\u0447\u0430\u044f\u0445 \u0432 \u0434\u043e\u043a\u0443\u043c\u0435\u043d\u0442\u0430\u0445 \u0442\u0430\u043a\u0436\u0435 \u0444\u0438\u0433\u0443\u0440\u0438\u0440\u043e\u0432\u0430\u043b\u0430 \u0438\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u044f \u043e \u0431\u0430\u043d\u043a\u043e\u0432\u0441\u043a\u0438\u0445 \u043a\u0430\u0440\u0442\u0430\u0445 \u043f\u043e\u0441\u0442\u0440\u0430\u0434\u0430\u0432\u0448\u0438\u0445. \u0414\u0430\u043d\u043d\u0430\u044f \u0443\u0442\u0435\u0447\u043a\u0430 \u043f\u0440\u043e\u0438\u0437\u043e\u0448\u043b\u0430 \u0432 \u0441\u043b\u0435\u0434\u0441\u0442\u0432\u0438\u0435 \u044d\u043a\u0441\u043f\u043b\u0443\u0430\u0442\u0430\u0446\u0438\u0438 \u043a\u0440\u0438\u0442\u0438\u0447\u0435\u0441\u043a\u043e\u0439 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0438 \u0432 Apache Struts 2 (CVE-2017-5638), \u0432 \u0442\u043e \u0432\u0440\u0435\u043c\u044f \u043a\u0430\u043a \u0438\u0441\u043f\u0440\u0430\u0432\u043b\u0435\u043d\u0438\u0435 \u0431\u044b\u043b\u043e \u0432\u044b\u043f\u0443\u0449\u0435\u043d\u043e \u0435\u0449\u0435 \u0432 \u043c\u0430\u0440\u0442\u0435 2017 \u0433\u043e\u0434\u0430. \u0423 \u043a\u043e\u043c\u043f\u0430\u043d\u0438\u0438 \u0431\u044b\u043b\u043e \u0434\u0432\u0430 \u043c\u0435\u0441\u044f\u0446\u0430 \u043d\u0430 \u0443\u0441\u0442\u0430\u043d\u043e\u0432\u043a\u0443 \u043e\u0431\u043d\u043e\u0432\u043b\u0435\u043d\u0438\u044f, \u043e\u0434\u043d\u0430\u043a\u043e \u044d\u0442\u0438\u043c \u043d\u0438\u043a\u0442\u043e \u043d\u0435 \u043e\u0437\u0430\u0431\u043e\u0442\u0438\u043b\u0441\u044f.<\/p>\n<p>  \u0412 \u0434\u0430\u043d\u043d\u043e\u0439 \u0441\u0442\u0430\u0442\u044c\u0435 \u0431\u0443\u0434\u0435\u0442 \u043e\u0431\u0441\u0443\u0436\u0434\u0430\u0442\u044c\u0441\u044f \u0432\u043e\u043f\u0440\u043e\u0441 \u0432\u044b\u0431\u043e\u0440\u0430 \u0438\u043d\u0441\u0442\u0440\u0443\u043c\u0435\u043d\u0442\u0430 \u0434\u043b\u044f \u043f\u0440\u043e\u0432\u0435\u0434\u0435\u043d\u0438\u044f SCA \u0441 \u0442\u043e\u0447\u043a\u0438 \u0437\u0440\u0435\u043d\u0438\u044f \u043a\u0430\u0447\u0435\u0441\u0442\u0432\u0430 \u0440\u0435\u0437\u0443\u043b\u044c\u0442\u0430\u0442\u043e\u0432 \u0430\u043d\u0430\u043b\u0438\u0437\u0430. \u0422\u0430\u043a\u0436\u0435 \u0431\u0443\u0434\u0435\u0442 \u043f\u0440\u0438\u0432\u0435\u0434\u0435\u043d\u043e \u0444\u0443\u043d\u043a\u0446\u0438\u043e\u043d\u0430\u043b\u044c\u043d\u043e\u0435 \u0441\u0440\u0430\u0432\u043d\u0435\u043d\u0438\u0435 \u0438\u043d\u0441\u0442\u0440\u0443\u043c\u0435\u043d\u0442\u043e\u0432. \u041f\u0440\u043e\u0446\u0435\u0441\u0441 \u0432\u0441\u0442\u0440\u0430\u0438\u0432\u0430\u043d\u0438\u044f \u0432 CI\/CD \u0438 \u0432\u043e\u0437\u043c\u043e\u0436\u043d\u043e\u0441\u0442\u0438 \u043f\u043e \u0438\u043d\u0442\u0435\u0433\u0440\u0430\u0446\u0438\u0438 \u043e\u0441\u0442\u0430\u0432\u0438\u043c \u043d\u0430 \u043f\u043e\u0441\u043b\u0435\u0434\u0443\u044e\u0449\u0438\u0435 \u043f\u0443\u0431\u043b\u0438\u043a\u0430\u0446\u0438\u0438. \u0428\u0438\u0440\u043e\u043a\u0438\u0439 \u0441\u043f\u0438\u0441\u043e\u043a \u0438\u043d\u0441\u0442\u0440\u0443\u043c\u0435\u043d\u0442\u043e\u0432 \u0431\u044b\u043b \u043f\u0440\u0435\u0434\u0441\u0442\u0430\u0432\u043b\u0435\u043d OWASP <a href=\"https:\/\/owasp.org\/www-community\/Component_Analysis\">\u043d\u0430 \u0441\u0432\u043e\u0435\u043c \u0441\u0430\u0439\u0442\u0435<\/a>, \u043d\u043e \u0432 \u0440\u0430\u043c\u043a\u0430\u0445 \u0442\u0435\u043a\u0443\u0449\u0435\u0433\u043e \u043e\u0431\u0437\u043e\u0440\u0430 \u043c\u044b \u043a\u043e\u0441\u043d\u0435\u043c\u0441\u044f \u0442\u043e\u043b\u044c\u043a\u043e \u0441\u0430\u043c\u043e\u0433\u043e \u043f\u043e\u043f\u0443\u043b\u044f\u0440\u043d\u043e\u0433\u043e open source \u0438\u043d\u0441\u0442\u0440\u0443\u043c\u0435\u043d\u0442\u0430 Dependency Check, \u0447\u0443\u0442\u044c \u043c\u0435\u043d\u0435\u0435 \u0438\u0437\u0432\u0435\u0441\u0442\u043d\u043e\u0439 open source \u043f\u043b\u0430\u0442\u0444\u043e\u0440\u043c\u044b Dependency Track \u0438 Enterprise-\u0440\u0435\u0448\u0435\u043d\u0438\u044f Sonatype Nexus IQ. \u0422\u0430\u043a\u0436\u0435 \u0440\u0430\u0437\u0431\u0435\u0440\u0435\u043c\u0441\u044f, \u043a\u0430\u043a \u0440\u0430\u0431\u043e\u0442\u0430\u044e\u0442 \u044d\u0442\u0438 \u0440\u0435\u0448\u0435\u043d\u0438\u044f \u0438 \u0441\u0440\u0430\u0432\u043d\u0438\u043c \u043f\u043e\u043b\u0443\u0447\u0435\u043d\u043d\u044b\u0435 \u0440\u0435\u0437\u0443\u043b\u044c\u0442\u0430\u0442\u044b \u043d\u0430 \u043f\u0440\u0435\u0434\u043c\u0435\u0442 \u043b\u043e\u0436\u043d\u044b\u0445 \u0441\u0440\u0430\u0431\u0430\u0442\u044b\u0432\u0430\u043d\u0438\u0439.<\/p>\n<p>  <img decoding=\"async\" src=\"https:\/\/habrastorage.org\/webt\/xt\/ds\/y_\/xtdsy_qtvg5jorfcgoo29_ybe2i.png\"\/><\/p>\n<h3>\u041f\u0440\u0438\u043d\u0446\u0438\u043f \u0440\u0430\u0431\u043e\u0442\u044b<\/h3>\n<p>  <a href=\"https:\/\/jeremylong.github.io\/DependencyCheck\/\">Dependency Check<\/a> \u2014 \u044d\u0442\u043e \u0443\u0442\u0438\u043b\u0438\u0442\u0430 (CLI, maven, jenkins \u043c\u043e\u0434\u0443\u043b\u044c, ant), \u043a\u043e\u0442\u043e\u0440\u0430\u044f \u0430\u043d\u0430\u043b\u0438\u0437\u0438\u0440\u0443\u0435\u0442 \u0444\u0430\u0439\u043b\u044b \u043f\u0440\u043e\u0435\u043a\u0442\u0430, \u0441\u043e\u0431\u0438\u0440\u0430\u0435\u0442 \u0444\u0440\u0430\u0433\u043c\u0435\u043d\u0442\u044b \u0438\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u0438 \u043e \u0437\u0430\u0432\u0438\u0441\u0438\u043c\u043e\u0441\u0442\u044f\u0445 (package name, groupid, specification title, version\u2026), \u0441\u0442\u0440\u043e\u0438\u0442 \u0441\u0442\u0440\u043e\u043a\u0443 CPE \u2014 (Common Platform Enumeration), Package URL (PURL) \u0438 \u0432\u044b\u044f\u0432\u043b\u044f\u0435\u0442 \u0434\u043b\u044f CPE\/PURL \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0438 \u0438\u0437 \u0431\u0430\u0437 \u0434\u0430\u043d\u043d\u044b\u0445 (NVD, Sonatype OSS Index, NPM Audit API\u2026), \u043f\u043e\u0441\u043b\u0435 \u0447\u0435\u0433\u043e \u0441\u0442\u0440\u043e\u0438\u0442 \u0435\u0434\u0438\u043d\u043e\u0440\u0430\u0437\u043e\u0432\u044b\u0439 \u043e\u0442\u0447\u0435\u0442 \u0432 \u0444\u043e\u0440\u043c\u0430\u0442\u0435 HTML, JSON, XML\u2026<\/p>\n<p>  \u0420\u0430\u0441\u0441\u043c\u043e\u0442\u0440\u0438\u043c, \u043a\u0430\u043a \u0432\u044b\u0433\u043b\u044f\u0434\u0438\u0442 CPE:<\/p>\n<pre><code class=\"plaintext\">cpe:2.3:part:vendor:product:version:update:edition:language:sw_edition:target_sw:target_hw:other<\/code><\/pre>\n<p>  <\/p>\n<ul>\n<li><b>Part:<\/b> \u0423\u043a\u0430\u0437\u0430\u043d\u0438\u0435 \u043e \u0442\u043e\u043c, \u0447\u0442\u043e \u043a\u043e\u043c\u043f\u043e\u043d\u0435\u043d\u0442 \u043e\u0442\u043d\u043e\u0441\u0438\u0442\u0441\u044f \u043a \u043f\u0440\u0438\u043b\u043e\u0436\u0435\u043d\u0438\u044e (a), \u043e\u043f\u0435\u0440\u0430\u0446\u0438\u043e\u043d\u043d\u043e\u0439 \u0441\u0438\u0441\u0442\u0435\u043c\u0435 (o), \u0436\u0435\u043b\u0435\u0437\u0443 (h) (\u041e\u0431\u044f\u0437\u0430\u0442\u0435\u043b\u044c\u043d\u044b\u0439 \u043f\u0443\u043d\u043a\u0442)<\/li>\n<li><b>Vendor:<\/b> \u041d\u0430\u0437\u0432\u0430\u043d\u0438\u0435 \u043f\u0440\u043e\u0438\u0437\u0432\u043e\u0434\u0438\u0442\u0435\u043b\u044f \u043f\u0440\u043e\u0434\u0443\u043a\u0442\u0430 (\u041e\u0431\u044f\u0437\u0430\u0442\u0435\u043b\u044c\u043d\u044b\u0439 \u043f\u0443\u043d\u043a\u0442)<\/li>\n<li><b>Product:<\/b> \u041d\u0430\u0437\u0432\u0430\u043d\u0438\u0435 \u043f\u0440\u043e\u0434\u0443\u043a\u0442\u0430 (\u041e\u0431\u044f\u0437\u0430\u0442\u0435\u043b\u044c\u043d\u044b\u0439 \u043f\u0443\u043d\u043a\u0442)<\/li>\n<li><b>Version:<\/b> \u0412\u0435\u0440\u0441\u0438\u044f \u043a\u043e\u043c\u043f\u043e\u043d\u0435\u043d\u0442\u044b (\u0423\u0441\u0442\u0430\u0440\u0435\u0432\u0448\u0438\u0439 \u043f\u0443\u043d\u043a\u0442)<\/li>\n<li><b>Update:<\/b> \u041e\u0431\u043d\u043e\u0432\u043b\u0435\u043d\u0438\u0435 \u043f\u0430\u043a\u0435\u0442\u0430<\/li>\n<li><b>Edition:<\/b> \u041d\u0430\u0441\u043b\u0435\u0434\u0443\u0435\u043c\u0430\u044f \u0432\u0435\u0440\u0441\u0438\u044f (\u0423\u0441\u0442\u0430\u0440\u0435\u0432\u0448\u0438\u0439 \u043f\u0443\u043d\u043a\u0442)<\/li>\n<li><b>Language:<\/b> \u042f\u0437\u044b\u043a, \u043e\u043f\u0440\u0435\u0434\u0435\u043b\u044f\u0435\u043c\u044b\u0439 \u0432 RFC-5646<\/li>\n<li><b>SW Edition:<\/b> \u0412\u0435\u0440\u0441\u0438\u044f \u041f\u041e<\/li>\n<li><b>Target SW:<\/b> \u041f\u0440\u043e\u0433\u0440\u0430\u043c\u043c\u043d\u0430\u044f \u0441\u0440\u0435\u0434\u0430, \u0432 \u043a\u043e\u0442\u043e\u0440\u043e\u0439 \u0440\u0430\u0431\u043e\u0442\u0430\u0435\u0442 \u043f\u0440\u043e\u0434\u0443\u043a\u0442<\/li>\n<li><b>Target HW:<\/b> \u0410\u043f\u043f\u0430\u0440\u0430\u0442\u043d\u0430\u044f \u0441\u0440\u0435\u0434\u0430, \u0432 \u043a\u043e\u0442\u043e\u0440\u043e\u0439 \u0440\u0430\u0431\u043e\u0442\u0430\u0435\u0442 \u043f\u0440\u043e\u0434\u0443\u043a\u0442<\/li>\n<li><b>Other:<\/b> \u0418\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u044f \u043e \u043f\u043e\u0441\u0442\u0430\u0432\u0449\u0438\u043a\u0435 \u0438\u043b\u0438 \u043f\u0440\u043e\u0434\u0443\u043a\u0442\u0435<\/li>\n<\/ul>\n<p>  \u041f\u0440\u0438\u043c\u0435\u0440 CPE \u0432\u044b\u0433\u043b\u044f\u0434\u0438\u0442 \u0441\u043b\u0435\u0434\u0443\u044e\u0449\u0438\u043c \u043e\u0431\u0440\u0430\u0437\u043e\u043c:<\/p>\n<pre><code class=\"plaintext\">cpe:2.3:a:pivotal_software:spring_framework:3.0.0:*:*:*:*:*:*:*<\/code><\/pre>\n<p>  \u0421\u0442\u0440\u043e\u043a\u0430 \u043e\u0437\u043d\u0430\u0447\u0430\u0435\u0442, \u0447\u0442\u043e CPE \u0432\u0435\u0440\u0441\u0438\u0438 2.3 \u043e\u043f\u0438\u0441\u044b\u0432\u0430\u0435\u0442 \u043a\u043e\u043c\u043f\u043e\u043d\u0435\u043d\u0442 \u043f\u0440\u0438\u043b\u043e\u0436\u0435\u043d\u0438\u044f \u043e\u0442 \u043f\u0440\u043e\u0438\u0437\u0432\u043e\u0434\u0438\u0442\u0435\u043b\u044f <code>pivotal_software <\/code>\u0441 \u043d\u0430\u0437\u0432\u0430\u043d\u0438\u0435\u043c <code>spring_framework<\/code> \u0432\u0435\u0440\u0441\u0438\u0438 3.0.0. \u0415\u0441\u043b\u0438 \u043c\u044b \u043e\u0442\u043a\u0440\u043e\u0435\u043c \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c <a href=\"https:\/\/nvd.nist.gov\/vuln\/detail\/CVE-2014-0225\">CVE-2014-0225<\/a> \u0432 NVD, \u0442\u043e \u043c\u043e\u0436\u0435\u043c \u0443\u0432\u0438\u0434\u0435\u0442\u044c \u0443\u043f\u043e\u043c\u0438\u043d\u0430\u043d\u0438\u0435 \u044d\u0442\u043e\u0439 CPE. \u041f\u0435\u0440\u0432\u0430\u044f \u043f\u0440\u043e\u0431\u043b\u0435\u043c\u0430, \u043d\u0430 \u043a\u043e\u0442\u043e\u0440\u0443\u044e \u0441\u0440\u0430\u0437\u0443 \u0441\u0442\u043e\u0438\u0442 \u043e\u0431\u0440\u0430\u0442\u0438\u0442\u044c \u0432\u043d\u0438\u043c\u0430\u043d\u0438\u0435 \u2014 CVE \u0432 NVD, \u0441\u043e\u0433\u043b\u0430\u0441\u043d\u043e CPE, \u0441\u043e\u043e\u0431\u0449\u0430\u0435\u0442 \u043e \u043d\u0430\u043b\u0438\u0447\u0438\u0438 \u043f\u0440\u043e\u0431\u043b\u0435\u043c\u044b \u0432\u043e \u0444\u0440\u0435\u0439\u043c\u0432\u043e\u0440\u043a\u0435, \u0430 \u043d\u0435 \u0432 \u043a\u043e\u043d\u043a\u0440\u0435\u0442\u043d\u043e\u0439 \u043a\u043e\u043c\u043f\u043e\u043d\u0435\u043d\u0442\u0435. \u0422\u043e \u0435\u0441\u0442\u044c, \u0435\u0441\u043b\u0438 \u0440\u0430\u0437\u0440\u0430\u0431\u043e\u0442\u0447\u0438\u043a\u0438 \u043f\u043b\u043e\u0442\u043d\u043e \u0437\u0430\u0432\u044f\u0437\u0430\u043d\u044b \u043d\u0430 \u0444\u0440\u0435\u0439\u043c\u0432\u043e\u0440\u043a, \u0430 \u0432\u044b\u044f\u0432\u043b\u0435\u043d\u043d\u0430\u044f \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c \u043d\u0435 \u043a\u0430\u0441\u0430\u0435\u0442\u0441\u044f \u0442\u0435\u0445 \u043c\u043e\u0434\u0443\u043b\u0435\u0439, \u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u044e\u0442 \u0440\u0430\u0437\u0440\u0430\u0431\u043e\u0442\u0447\u0438\u043a\u0438, \u0441\u043f\u0435\u0446\u0438\u0430\u043b\u0438\u0441\u0442\u0443 \u043f\u043e \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u0438 \u0442\u0430\u043a \u0438\u043b\u0438 \u0438\u043d\u0430\u0447\u0435 \u043f\u0440\u0438\u0434\u0435\u0442\u0441\u044f \u0440\u0430\u0437\u0431\u0438\u0440\u0430\u0442\u044c \u0434\u0430\u043d\u043d\u0443\u044e CVE \u0438 \u0437\u0430\u0434\u0443\u043c\u044b\u0432\u0430\u0442\u044c\u0441\u044f \u043e\u0431 \u043e\u0431\u043d\u043e\u0432\u043b\u0435\u043d\u0438\u0438.<\/p>\n<p>  URL-\u0430\u0434\u0440\u0435\u0441 \u0442\u0430\u043a\u0436\u0435 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u0435\u0442\u0441\u044f \u0438\u043d\u0441\u0442\u0440\u0443\u043c\u0435\u043d\u0442\u0430\u043c\u0438 SCA. \u0424\u043e\u0440\u043c\u0430\u0442 URL-\u0430\u0434\u0440\u0435\u0441\u0430 \u043f\u0430\u043a\u0435\u0442\u0430 \u0441\u043b\u0435\u0434\u0443\u044e\u0449\u0438\u0439:<\/p>\n<pre><code class=\"plaintext\">scheme:type\/namespace\/name@version?qualifiers#subpath<\/code><\/pre>\n<p>  <\/p>\n<ul>\n<li><b>S\u0441heme: <\/b>\u0412\u0441\u0435\u0433\u0434\u0430 \u0431\u0443\u0434\u0435\u0442 &#8216;pkg&#8217;, \u0443\u043a\u0430\u0437\u044b\u0432\u0430\u044e\u0449\u0438\u0439, \u0447\u0442\u043e \u044d\u0442\u043e URL-\u0430\u0434\u0440\u0435\u0441 \u043f\u0430\u043a\u0435\u0442\u0430 (\u041e\u0431\u044f\u0437\u0430\u0442\u0435\u043b\u044c\u043d\u044b\u0439 \u043f\u0443\u043d\u043a\u0442)<\/li>\n<li><b>Type:<\/b> \u00ab\u0422\u0438\u043f\u00bb \u043f\u0430\u043a\u0435\u0442\u0430 \u0438\u043b\u0438 \u00ab\u043f\u0440\u043e\u0442\u043e\u043a\u043e\u043b\u00bb \u043f\u0430\u043a\u0435\u0442\u0430, \u043d\u0430\u043f\u0440\u0438\u043c\u0435\u0440 maven, npm, nuget, gem, pypi \u0438 \u0442.\u0434. (\u041e\u0431\u044f\u0437\u0430\u0442\u0435\u043b\u044c\u043d\u044b\u0439 \u043f\u0443\u043d\u043a\u0442)<\/li>\n<li><b>Namespace:<\/b> \u041d\u0435\u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u043f\u0440\u0435\u0444\u0438\u043a\u0441 \u0438\u043c\u0435\u043d\u0438, \u0442\u0430\u043a\u043e\u0439 \u043a\u0430\u043a \u0438\u0434\u0435\u043d\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u043e\u0440 \u0433\u0440\u0443\u043f\u043f\u044b Maven, \u0432\u043b\u0430\u0434\u0435\u043b\u0435\u0446 \u043e\u0431\u0440\u0430\u0437\u0430 Docker, \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044c \u0438\u043b\u0438 \u043e\u0440\u0433\u0430\u043d\u0438\u0437\u0430\u0446\u0438\u044f GitHub.\u00a0\u041d\u0435\u043e\u0431\u044f\u0437\u0430\u0442\u0435\u043b\u044c\u043d\u044b\u0439 \u0438 \u0437\u0430\u0432\u0438\u0441\u0438\u0442 \u043e\u0442 \u0442\u0438\u043f\u0430.<\/li>\n<li><b>Name:<\/b> \u0418\u043c\u044f \u043f\u0430\u043a\u0435\u0442\u0430 (\u041e\u0431\u044f\u0437\u0430\u0442\u0435\u043b\u044c\u043d\u044b\u0439 \u043f\u0443\u043d\u043a\u0442)<\/li>\n<li><b>Version:<\/b> \u0412\u0435\u0440\u0441\u0438\u044f \u043f\u0430\u043a\u0435\u0442\u0430<\/li>\n<li><b>Qualifiers:<\/b> \u0414\u043e\u043f\u043e\u043b\u043d\u0438\u0442\u0435\u043b\u044c\u043d\u044b\u0435 \u043a\u0432\u0430\u043b\u0438\u0444\u0438\u043a\u0430\u0446\u0438\u043e\u043d\u043d\u044b\u0435 \u0434\u0430\u043d\u043d\u044b\u0435 \u0434\u043b\u044f \u043f\u0430\u043a\u0435\u0442\u0430, \u0442\u0430\u043a\u0438\u0435 \u043a\u0430\u043a \u041e\u0421, \u0430\u0440\u0445\u0438\u0442\u0435\u043a\u0442\u0443\u0440\u0430, \u0434\u0438\u0441\u0442\u0440\u0438\u0431\u0443\u0442\u0438\u0432 \u0438 \u0442. \u0414. \u041d\u0435\u043e\u0431\u044f\u0437\u0430\u0442\u0435\u043b\u044c\u043d\u044b\u0439 \u0438 \u0437\u0430\u0432\u0438\u0441\u044f\u0449\u0438\u0439 \u043e\u0442 \u0442\u0438\u043f\u0430 \u043f\u0443\u043d\u043a\u0442.<\/li>\n<li><b>Subpath:<\/b> \u0414\u043e\u043f\u043e\u043b\u043d\u0438\u0442\u0435\u043b\u044c\u043d\u044b\u0439 \u043f\u0443\u0442\u044c \u0432 \u043f\u0430\u043a\u0435\u0442\u0435 \u043e\u0442\u043d\u043e\u0441\u0438\u0442\u0435\u043b\u044c\u043d\u043e \u043a\u043e\u0440\u043d\u044f \u043f\u0430\u043a\u0435\u0442\u0430<\/li>\n<\/ul>\n<p>  \u041d\u0430\u043f\u0440\u0438\u043c\u0435\u0440:<\/p>\n<pre><code class=\"plaintext\">pkg:golang\/google.golang.org\/genproto#googleapis\/api\/annotations pkg:maven\/org.apache.commons\/io@1.3.4 pkg:pypi\/django-package@1.11.1.dev1<\/code><\/pre>\n<p>  <a href=\"https:\/\/dependencytrack.org\/\">Dependency Track<\/a> \u2014 on-premise \u0432\u0435\u0431-\u043f\u043b\u0430\u0442\u0444\u043e\u0440\u043c\u0430, \u043a\u043e\u0442\u043e\u0440\u0430\u044f \u043f\u0440\u0438\u043d\u0438\u043c\u0430\u0435\u0442 \u0433\u043e\u0442\u043e\u0432\u044b\u0435 Bill of Materials (BOM) \u0441\u0444\u043e\u0440\u043c\u0438\u0440\u043e\u0432\u0430\u043d\u043d\u044b\u0435 <a href=\"https:\/\/github.com\/CycloneDX\">CycloneDX<\/a> \u0438 <a href=\"https:\/\/spdx.org\/licenses\/\">SPDX<\/a>, \u0442\u043e \u0435\u0441\u0442\u044c \u0433\u043e\u0442\u043e\u0432\u044b\u0435 \u0441\u043f\u0435\u0446\u0438\u0444\u0438\u043a\u0430\u0446\u0438\u0438 \u043e\u0431 \u0438\u043c\u0435\u044e\u0449\u0438\u0445\u0441\u044f \u0437\u0430\u0432\u0438\u0441\u0438\u043c\u043e\u0441\u0442\u044f\u0445. \u042d\u0442\u043e XML-\u0444\u0430\u0439\u043b \u0441 \u043e\u043f\u0438\u0441\u0430\u043d\u0438\u0435\u043c \u0437\u0430\u0432\u0438\u0441\u0438\u043c\u043e\u0441\u0442\u0435\u0439 \u2014 name, hashes, package url, publisher, license. \u0414\u0430\u043b\u0435\u0435 Dependency Track \u0440\u0430\u0437\u0431\u0438\u0440\u0430\u0435\u0442 BOM, \u0441\u043c\u043e\u0442\u0440\u0438\u0442 \u0438\u043c\u0435\u044e\u0449\u0438\u0435\u0441\u044f \u043a \u0432\u044b\u044f\u0432\u043b\u0435\u043d\u043d\u044b\u043c \u0437\u0430\u0432\u0438\u0441\u0438\u043c\u043e\u0441\u0442\u044f\u043c CVE \u0438\u0437 \u0431\u0430\u0437\u044b \u0434\u0430\u043d\u043d\u044b\u0445 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0435\u0439 (NVD, Sonatype OSS Index \u2026), \u043f\u043e\u0441\u043b\u0435 \u0447\u0435\u0433\u043e \u0441\u0442\u0440\u043e\u0438\u0442 \u0433\u0440\u0430\u0444\u0438\u043a\u0438, \u0432\u044b\u0447\u0438\u0441\u043b\u044f\u0435\u0442 \u043c\u0435\u0442\u0440\u0438\u043a\u0438, \u0440\u0435\u0433\u0443\u043b\u044f\u0440\u043d\u043e \u043e\u0431\u043d\u043e\u0432\u043b\u044f\u044f \u0434\u0430\u043d\u043d\u044b\u0435 \u043e \u0441\u0442\u0430\u0442\u0443\u0441\u0435 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0438 \u043a\u043e\u043c\u043f\u043e\u043d\u0435\u043d\u0442. <\/p>\n<p>  \u041f\u0440\u0438\u043c\u0435\u0440 \u0442\u043e\u0433\u043e, \u043a\u0430\u043a \u043c\u043e\u0436\u0435\u0442 \u0432\u044b\u0433\u043b\u044f\u0434\u0435\u0442\u044c BOM \u0432 \u0444\u043e\u0440\u043c\u0430\u0442\u0435 XML:<\/p>\n<pre><code class=\"xml\">&lt;?xml version=&quot;1.0&quot; encoding=&quot;UTF-8&quot;?&gt; &lt;bom xmlns=&quot;http:\/\/cyclonedx.org\/schema\/bom\/1.2&quot; serialNumber=&quot;urn:uuid:3e671687-395b-41f5-a30f-a58921a69b79&quot; version=&quot;1&quot;&gt;   &lt;components&gt;     &lt;component type=&quot;library&quot;&gt;       &lt;publisher&gt;Apache&lt;\/publisher&gt;       &lt;group&gt;org.apache.tomcat&lt;\/group&gt;       &lt;name&gt;tomcat-catalina&lt;\/name&gt;       &lt;version&gt;9.0.14&lt;\/version&gt;       &lt;hashes&gt;         &lt;hash alg=&quot;MD5&quot;&gt;3942447fac867ae5cdb3229b658f4d48&lt;\/hash&gt;         &lt;hash alg=&quot;SHA-1&quot;&gt;e6b1000b94e835ffd37f4c6dcbdad43f4b48a02a&lt;\/hash&gt;         &lt;hash alg=&quot;SHA-256&quot;&gt;f498a8ff2dd007e29c2074f5e4b01a9a01775c3ff3aeaf6906ea503bc5791b7b&lt;\/hash&gt;         &lt;hash alg=&quot;SHA-512&quot;&gt;e8f33e424f3f4ed6db76a482fde1a5298970e442c531729119e37991884bdffab4f9426b7ee11fccd074eeda0634d71697d6f88a460dce0ac8d627a29f7d1282&lt;\/hash&gt;       &lt;\/hashes&gt;       &lt;licenses&gt;         &lt;license&gt;           &lt;id&gt;Apache-2.0&lt;\/id&gt;         &lt;\/license&gt;       &lt;\/licenses&gt;       &lt;purl&gt;pkg:maven\/org.apache.tomcat\/tomcat-catalina@9.0.14&lt;\/purl&gt;     &lt;\/component&gt;       &lt;!-- More components here --&gt;   &lt;\/components&gt; &lt;\/bom&gt;<\/code><\/pre>\n<p>  BOM \u043c\u043e\u0436\u0435\u0442 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u044c\u0441\u044f \u043d\u0435 \u0442\u043e\u043b\u044c\u043a\u043e \u0432 \u043a\u0430\u0447\u0435\u0441\u0442\u0432\u0435 \u0432\u0445\u043e\u0434\u043d\u044b\u0445 \u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440\u043e\u0432 \u0434\u043b\u044f Dependency Track, \u043d\u043e \u0438 \u0434\u043b\u044f \u0438\u043d\u0432\u0435\u043d\u0442\u0430\u0440\u0438\u0437\u0430\u0446\u0438\u0438 \u043a\u043e\u043c\u043f\u043e\u043d\u0435\u043d\u0442\u043e\u0432 \u041f\u041e \u0432 \u0446\u0435\u043f\u043e\u0447\u043a\u0435 \u043f\u043e\u0441\u0442\u0430\u0432\u043e\u043a, \u043d\u0430\u043f\u0440\u0438\u043c\u0435\u0440, \u0434\u043b\u044f \u043f\u0440\u0435\u0434\u043e\u0441\u0442\u0430\u0432\u043b\u0435\u043d\u0438\u044f \u0437\u0430\u043a\u0430\u0437\u0447\u0438\u043a\u0443 \u041f\u041e. \u0412 2014 \u0433\u043e\u0434\u0443 \u043d\u0430 \u0440\u0430\u0441\u0441\u043c\u043e\u0442\u0440\u0435\u043d\u0438\u0435 \u0432 \u0421\u0428\u0410 \u0431\u044b\u043b \u0434\u0430\u0436\u0435 \u043f\u0440\u0435\u0434\u043b\u043e\u0436\u0435\u043d \u0437\u0430\u043a\u043e\u043d <a href=\"https:\/\/www.congress.gov\/bill\/113th-congress\/house-bill\/5793\">\u00abCyber Supply Chain Management and Transparency Act of 2014\u00bb<\/a>, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u0433\u043b\u0430\u0441\u0438\u043b, \u0447\u0442\u043e \u043f\u0440\u0438 \u0437\u0430\u043a\u0443\u043f\u043a\u0435 \u041f\u041e \u043b\u044e\u0431\u043e\u0435 \u0433\u043e\u0441. \u0443\u0447\u0440\u0435\u0436\u0434\u0435\u043d\u0438\u0435 \u0434\u043e\u043b\u0436\u043d\u043e \u0437\u0430\u043f\u0440\u0430\u0448\u0438\u0432\u0430\u0442\u044c BOM \u0434\u043b\u044f \u043f\u0440\u0435\u0434\u043e\u0442\u0432\u0440\u0430\u0449\u0435\u043d\u0438\u044f \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043d\u0438\u044f \u0443\u044f\u0437\u0432\u0438\u043c\u044b\u0445 \u043a\u043e\u043c\u043f\u043e\u043d\u0435\u043d\u0442, \u043e\u0434\u043d\u0430\u043a\u043e \u0432 \u0441\u0438\u043b\u0443 \u0430\u043a\u0442 \u0442\u0430\u043a \u0438 \u043d\u0435 \u0432\u0441\u0442\u0443\u043f\u0438\u043b.<\/p>\n<p>  \u0412\u043e\u0437\u0432\u0440\u0430\u0449\u0430\u044f\u0441\u044c \u043a SCA, \u0443 Dependency Track \u0435\u0441\u0442\u044c \u0433\u043e\u0442\u043e\u0432\u044b\u0435 \u0438\u043d\u0442\u0435\u0433\u0440\u0430\u0446\u0438\u0438 \u0441 Notification Platforms \u0432\u0440\u043e\u0434\u0435 Slack, \u0441\u0438\u0441\u0442\u0435\u043c\u0430\u043c\u0438 \u0443\u043f\u0440\u0430\u0432\u043b\u0435\u043d\u0438\u044f \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044f\u043c\u0438 \u0432\u0440\u043e\u0434\u0435 Kenna Security. \u0421\u0442\u043e\u0438\u0442 \u0442\u0430\u043a\u0436\u0435 \u0441\u043a\u0430\u0437\u0430\u0442\u044c, \u0447\u0442\u043e Dependency Track \u043a\u043e \u0432\u0441\u0435\u043c\u0443 \u043f\u0440\u043e\u0447\u0435\u043c\u0443 \u0432\u044b\u044f\u0432\u043b\u044f\u0435\u0442 \u0443\u0441\u0442\u0430\u0440\u0435\u0432\u0448\u0438\u0435 \u0432\u0435\u0440\u0441\u0438\u0438 \u043f\u0430\u043a\u0435\u0442\u043e\u0432 \u0438 \u043f\u0440\u0435\u0434\u043e\u0441\u0442\u0430\u0432\u043b\u044f\u0435\u0442 \u0438\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u044e \u043e \u043b\u0438\u0446\u0435\u043d\u0437\u0438\u044f\u0445 (\u0437\u0430 \u0441\u0447\u0435\u0442 \u043f\u043e\u0434\u0434\u0435\u0440\u0436\u043a\u0438 SPDX).<\/p>\n<p>  \u0415\u0441\u043b\u0438 \u0433\u043e\u0432\u043e\u0440\u0438\u0442\u044c \u0438\u043c\u0435\u043d\u043d\u043e \u043e \u043a\u0430\u0447\u0435\u0441\u0442\u0432\u0435 SCA, \u0442\u043e \u0437\u0434\u0435\u0441\u044c \u0435\u0441\u0442\u044c \u043f\u0440\u0438\u043d\u0446\u0438\u043f\u0438\u0430\u043b\u044c\u043d\u0430\u044f \u0440\u0430\u0437\u043d\u0438\u0446\u0430.<\/p>\n<p>  Dependency Track \u043d\u0435 \u043f\u0440\u0438\u043d\u0438\u043c\u0430\u0435\u0442 \u043f\u0440\u043e\u0435\u043a\u0442 \u0432 \u043a\u0430\u0447\u0435\u0441\u0442\u0432\u0435 \u0432\u0445\u043e\u0434\u043d\u044b\u0445 \u0434\u0430\u043d\u043d\u044b\u0445, \u0430 \u043f\u0440\u0438\u043d\u0438\u043c\u0430\u0435\u0442 \u0438\u043c\u0435\u043d\u043d\u043e BOM. \u042d\u0442\u043e \u043e\u0437\u043d\u0430\u0447\u0430\u0435\u0442, \u0447\u0442\u043e \u0435\u0441\u043b\u0438 \u043c\u044b \u0437\u0430\u0445\u043e\u0442\u0438\u043c \u043f\u0440\u043e\u0432\u0435\u0440\u0438\u0442\u044c \u043f\u0440\u043e\u0435\u043a\u0442, \u0442\u043e \u0441\u043d\u0430\u0447\u0430\u043b\u0430 \u043d\u0430\u043c \u043d\u0443\u0436\u043d\u043e \u0441\u0433\u0435\u043d\u0435\u0440\u0438\u0440\u043e\u0432\u0430\u0442\u044c bom.xml, \u043d\u0430\u043f\u0440\u0438\u043c\u0435\u0440, \u0441 \u043f\u043e\u043c\u043e\u0449\u044c\u044e CycloneDX. \u0422\u0430\u043a\u0438\u043c \u043e\u0431\u0440\u0430\u0437\u043e\u043c, Dependency Track \u043d\u0430\u043f\u0440\u044f\u043c\u0443\u044e \u0437\u0430\u0432\u0438\u0441\u0438\u0442 \u043e\u0442 CycloneDX. \u0412 \u0442\u043e \u0436\u0435 \u0432\u0440\u0435\u043c\u044f, \u044d\u0442\u043e \u0434\u0430\u0435\u0442 \u0432\u043e\u0437\u043c\u043e\u0436\u043d\u043e\u0441\u0442\u044c \u043a\u0430\u0441\u0442\u043e\u043c\u0438\u0437\u0430\u0446\u0438\u0438. \u0422\u0430\u043a \u043a\u043e\u043c\u0430\u043d\u0434\u0430 OZON \u043d\u0430\u043f\u0438\u0441\u0430\u043b\u0430 <a href=\"https:\/\/github.com\/ozonru\/cyclonedx-go\">\u043c\u043e\u0434\u0443\u043b\u044c CycloneDX<\/a> \u0434\u043b\u044f \u0441\u0431\u043e\u0440\u043a\u0438 BOM-\u0444\u0430\u0439\u043b\u043e\u0432 \u0434\u043b\u044f \u043f\u0440\u043e\u0435\u043a\u0442\u043e\u0432 \u043d\u0430 Golang \u0441 \u0446\u0435\u043b\u044c\u044e \u0434\u0430\u043b\u044c\u043d\u0435\u0439\u0448\u0435\u0433\u043e \u0441\u043a\u0430\u043d\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u044f \u0447\u0435\u0440\u0435\u0437 Dependency Track.<\/p>\n<p>  <a href=\"https:\/\/sonatype.ru\/#nexusiq\">Nexus IQ<\/a> \u2014 \u043a\u043e\u043c\u043c\u0435\u0440\u0447\u0435\u0441\u043a\u043e\u0435 \u0440\u0435\u0448\u0435\u043d\u0438\u0435 SCA \u043e\u0442 \u043a\u043e\u043c\u043f\u0430\u043d\u0438\u0438 Sonatype, \u043a\u043e\u0442\u043e\u0440\u043e\u0435 \u044f\u0432\u043b\u044f\u0435\u0442\u0441\u044f \u0447\u0430\u0441\u0442\u044c\u044e \u044d\u043a\u043e\u0441\u0438\u0441\u0442\u0435\u043c\u044b Sonatype, \u043a\u0443\u0434\u0430 \u0442\u0430\u043a\u0436\u0435 \u0432\u0445\u043e\u0434\u0438\u0442 Nexus Repository Manager. Nexus IQ \u043c\u043e\u0436\u0435\u0442 \u043f\u0440\u0438\u043d\u0438\u043c\u0430\u0442\u044c \u0432 \u043a\u0430\u0447\u0435\u0441\u0442\u0432\u0435 \u0432\u0445\u043e\u0434\u043d\u044b\u0445 \u0434\u0430\u043d\u043d\u044b\u0445 \u043a\u0430\u043a war \u0430\u0440\u0445\u0438\u0432\u044b (\u0434\u043b\u044f java \u043f\u0440\u043e\u0435\u043a\u0442\u043e\u0432) \u0447\u0435\u0440\u0435\u0437 \u0432\u0435\u0431-\u0438\u043d\u0442\u0435\u0440\u0444\u0435\u0439\u0441 \u0438\u043b\u0438 API, \u0442\u0430\u043a \u0438 BOM, \u0435\u0441\u043b\u0438 \u0432\u0430\u0448\u0430 \u043e\u0440\u0433\u0430\u043d\u0438\u0437\u0430\u0446\u0438\u044f \u043d\u0435 \u0443\u0441\u043f\u0435\u043b\u0430 \u043f\u0435\u0440\u0435\u0441\u0442\u0440\u043e\u0438\u0442\u044c\u0441\u044f \u0441 CycloneDX \u043d\u0430 \u043d\u043e\u0432\u043e\u0435 \u0440\u0435\u0448\u0435\u043d\u0438\u0435. \u0412 \u043e\u0442\u043b\u0438\u0447\u0438\u0435 \u043e\u0442 open source \u0440\u0435\u0448\u0435\u043d\u0438\u0439, IQ \u043e\u0431\u0440\u0430\u0449\u0430\u0435\u0442\u0441\u044f \u043d\u0435 \u0442\u043e\u043b\u044c\u043a\u043e \u043a CP\/PURL \u043a \u0432\u044b\u044f\u0432\u043b\u0435\u043d\u043d\u043e\u0439 \u043a\u043e\u043c\u043f\u043e\u043d\u0435\u043d\u0442\u0435 \u0438 \u0441\u043e\u043e\u0442\u0432\u0435\u0442\u0441\u0442\u0432\u0443\u044e\u0449\u0435\u0439 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0438 \u0432 \u0431\u0430\u0437\u0435 \u0434\u0430\u043d\u043d\u044b\u0445, \u043d\u043e \u0438 \u0443\u0447\u0438\u0442\u044b\u0432\u0430\u0435\u0442 \u0441\u043e\u0431\u0441\u0442\u0432\u0435\u043d\u043d\u044b\u0435 \u0438\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u043d\u0438\u044f, \u043d\u0430\u043f\u0440\u0438\u043c\u0435\u0440, \u043d\u0430\u0437\u0432\u0430\u043d\u0438\u0435 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0439 \u0444\u0443\u043d\u043a\u0446\u0438\u0438 \u0438\u043b\u0438 \u043a\u043b\u0430\u0441\u0441\u0430. \u041c\u0435\u0445\u0430\u043d\u0438\u0437\u043c\u044b IQ \u0431\u0443\u0434\u0443\u0442 \u0440\u0430\u0441\u0441\u043c\u043e\u0442\u0440\u0435\u043d\u044b \u043f\u043e\u0437\u0434\u043d\u0435\u0435 \u043f\u0440\u0438 \u0440\u0430\u0437\u0431\u043e\u0440\u0435 \u0440\u0435\u0437\u0443\u043b\u044c\u0442\u0430\u0442\u043e\u0432.<\/p>\n<p>  \u041f\u043e\u0434\u0432\u0435\u0434\u0435\u043c \u043d\u0435\u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u0438\u0442\u043e\u0433\u0435 \u043f\u043e \u0444\u0443\u043d\u043a\u0446\u0438\u043e\u043d\u0430\u043b\u044c\u043d\u044b\u043c \u043e\u0441\u043e\u0431\u0435\u043d\u043d\u043e\u0441\u0442\u044f\u043c, \u0430 \u0442\u0430\u043a\u0436\u0435 \u0440\u0430\u0441\u0441\u043c\u043e\u0442\u0440\u0438\u043c \u043f\u043e\u0434\u0434\u0435\u0440\u0436\u0438\u0432\u0430\u0435\u043c\u044b\u0435 \u044f\u0437\u044b\u043a\u0438 \u0434\u043b\u044f \u0430\u043d\u0430\u043b\u0438\u0437\u0430:<\/p>\n<div class=\"scrollable-table\">\n<table>\n<tr>\n<th>\u042f\u0437\u044b\u043a<\/th>\n<th>Nexus IQ<\/th>\n<th>Dependency Check<\/th>\n<th>Dependency Track<\/th>\n<\/tr>\n<tr>\n<td>Java<\/td>\n<td>+<\/td>\n<td>+<\/td>\n<td>+<\/td>\n<\/tr>\n<tr>\n<td>C\/C++<\/td>\n<td>+<\/td>\n<td>+<\/td>\n<td>&#8212;<\/td>\n<\/tr>\n<tr>\n<td>C#<\/td>\n<td>+<\/td>\n<td>+<\/td>\n<td>&#8212;<\/td>\n<\/tr>\n<tr>\n<td>.Net<\/td>\n<td>+<\/td>\n<td>+<\/td>\n<td>+<\/td>\n<\/tr>\n<tr>\n<td>Erlang<\/td>\n<td>&#8212;<\/td>\n<td>&#8212;<\/td>\n<td>+<\/td>\n<\/tr>\n<tr>\n<td>JavaScript (NodeJS)<\/td>\n<td>+<\/td>\n<td>+<\/td>\n<td>+<\/td>\n<\/tr>\n<tr>\n<td>PHP<\/td>\n<td>+<\/td>\n<td>+<\/td>\n<td>+<\/td>\n<\/tr>\n<tr>\n<td>Python<\/td>\n<td>+<\/td>\n<td>+<\/td>\n<td>+<\/td>\n<\/tr>\n<tr>\n<td>Ruby<\/td>\n<td>+<\/td>\n<td>+<\/td>\n<td>+<\/td>\n<\/tr>\n<tr>\n<td>Perl<\/td>\n<td>&#8212;<\/td>\n<td>&#8212;<\/td>\n<td>&#8212;<\/td>\n<\/tr>\n<tr>\n<td>Scala<\/td>\n<td>+<\/td>\n<td>+<\/td>\n<td>+<\/td>\n<\/tr>\n<tr>\n<td>Objective C<\/td>\n<td>+<\/td>\n<td>+<\/td>\n<td>&#8212;<\/td>\n<\/tr>\n<tr>\n<td>Swift<\/td>\n<td>+<\/td>\n<td>+<\/td>\n<td>&#8212;<\/td>\n<\/tr>\n<tr>\n<td>R<\/td>\n<td>+<\/td>\n<td>&#8212;<\/td>\n<td>&#8212;<\/td>\n<\/tr>\n<tr>\n<td>Go<\/td>\n<td>+<\/td>\n<td>+<\/td>\n<td>+<\/td>\n<\/tr>\n<\/table>\n<\/div>\n<p>  \u0424\u0443\u043d\u043a\u0446\u0438\u043e\u043d\u0430\u043b\u044c\u043d\u044b\u0435 \u0432\u043e\u0437\u043c\u043e\u0436\u043d\u043e\u0441\u0442\u0438<\/p>\n<div class=\"scrollable-table\">\n<table>\n<tr>\n<th>\u0424\u0443\u043d\u043a\u0446\u0438\u043e\u043d\u0430\u043b\u044c\u043d\u044b\u0435 \u0432\u043e\u0437\u043c\u043e\u0436\u043d\u043e\u0441\u0442\u0438<\/th>\n<th>Nexus IQ<\/th>\n<th>Dependency Check<\/th>\n<th>Dependency Track<\/th>\n<\/tr>\n<tr>\n<td>\u0412\u043e\u0437\u043c\u043e\u0436\u043d\u043e\u0441\u0442\u044c \u043e\u0431\u0435\u0441\u043f\u0435\u0447\u0438\u0432\u0430\u0442\u044c \u043f\u0440\u043e\u0432\u0435\u0440\u043a\u0443 \u043a\u043e\u043c\u043f\u043e\u043d\u0435\u043d\u0442, \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u0435\u043c\u044b\u0445 \u0432 \u0438\u0441\u0445\u043e\u0434\u043d\u043e\u043c \u043a\u043e\u0434\u0435 \u043d\u0430 \u043b\u0438\u0446\u0435\u043d\u0437\u0438\u043e\u043d\u043d\u0443\u044e \u0447\u0438\u0441\u0442\u043e\u0442\u0443<\/td>\n<td>+<\/td>\n<td>&#8212;<\/td>\n<td>+<\/td>\n<\/tr>\n<tr>\n<td>\u0412\u043e\u0437\u043c\u043e\u0436\u043d\u043e\u0441\u0442\u044c \u0441\u043a\u0430\u043d\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u044f \u0438 \u0430\u043d\u0430\u043b\u0438\u0437\u0430 \u043d\u0430 \u043d\u0430\u043b\u0438\u0447\u0438\u0435 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0435\u0439 \u0438 \u043b\u0438\u0446\u0435\u043d\u0437\u0438\u043e\u043d\u043d\u043e\u0439 \u0447\u0438\u0441\u0442\u043e\u0442\u044b \u0434\u043b\u044f \u043e\u0431\u0440\u0430\u0437\u043e\u0432 Docker <\/td>\n<td>+ \u0418\u043d\u0442\u0435\u0433\u0440\u0430\u0446\u0438\u044f \u0441 Clair<\/td>\n<td>&#8212;<\/td>\n<td>&#8212;<\/td>\n<\/tr>\n<tr>\n<td>\u0412\u043e\u0437\u043c\u043e\u0436\u043d\u043e\u0441\u0442\u044c \u043d\u0430\u0441\u0442\u0440\u043e\u0439\u043a\u0438 \u043f\u043e\u043b\u0438\u0442\u0438\u043a\u0438 \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u0438 \u0434\u043b\u044f \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043d\u0438\u044f \u0431\u0438\u0431\u043b\u0438\u043e\u0442\u0435\u043a \u0441 \u043e\u0442\u043a\u0440\u044b\u0442\u044b\u043c \u0438\u0441\u0445\u043e\u0434\u043d\u044b\u043c \u043a\u043e\u0434\u043e\u043c<\/td>\n<td>+<\/td>\n<td>&#8212;<\/td>\n<td>&#8212;<\/td>\n<\/tr>\n<tr>\n<td>\u0412\u043e\u0437\u043c\u043e\u0436\u043d\u043e\u0441\u0442\u044c \u0441\u043a\u0430\u043d\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u044f \u0440\u0435\u043f\u043e\u0437\u0438\u0442\u043e\u0440\u0438\u0435\u0432 \u0441 \u043e\u0442\u043a\u0440\u044b\u0442\u044b\u043c \u0438\u0441\u0445\u043e\u0434\u043d\u044b\u043c \u043a\u043e\u0434\u043e\u043c \u043d\u0430 \u043d\u0430\u043b\u0438\u0447\u0438\u0435 \u0443\u044f\u0437\u0432\u0438\u043c\u044b\u0445 \u043a\u043e\u043c\u043f\u043e\u043d\u0435\u043d\u0442\u043e\u0432<\/td>\n<td>+ RubyGems, Maven, NPM, Nuget, Pypi, Conan, Bower, Conda, Go, p2, R, Yum, Helm, Docker, CocoaPods, Git LFS<\/td>\n<td>&#8212;<\/td>\n<td>+ Hex, RubyGems, Maven, NPM, Nuget, Pypi<\/td>\n<\/tr>\n<tr>\n<td>\u041d\u0430\u043b\u0438\u0447\u0438\u0435 \u0441\u043f\u0435\u0446\u0438\u0430\u043b\u0438\u0437\u0438\u0440\u043e\u0432\u0430\u043d\u043d\u043e\u0439 \u0438\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u0442\u0435\u043b\u044c\u0441\u043a\u043e\u0439 \u0433\u0440\u0443\u043f\u043f\u044b<\/td>\n<td>+<\/td>\n<td>&#8212;<\/td>\n<td>&#8212;<\/td>\n<\/tr>\n<tr>\n<td>\u0420\u0430\u0431\u043e\u0442\u0430 \u0432 \u0437\u0430\u043a\u0440\u044b\u0442\u043e\u043c \u043a\u043e\u043d\u0442\u0443\u0440\u0435<\/td>\n<td>+<\/td>\n<td>+<\/td>\n<td>+<\/td>\n<\/tr>\n<tr>\n<td>\u0418\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043d\u0438\u0435 \u0441\u0442\u043e\u0440\u043e\u043d\u043d\u0438\u0445 \u0431\u0430\u0437 \u0434\u0430\u043d\u043d\u044b\u0445<\/td>\n<td>+ \u0417\u0430\u043a\u0440\u044b\u0442\u0430\u044f \u0411\u0414 Sonatype<\/td>\n<td>+ Sonatype OSS, NPM Public Advisors<\/td>\n<td>+ Sonatype OSS, NPM Public Advisors, RetireJS, VulnDB, \u043f\u043e\u0434\u0434\u0435\u0440\u0436\u043a\u0430 \u0441\u043e\u0431\u0441\u0442\u0432\u0435\u043d\u043d\u043e\u0439 \u0411\u0414 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0435\u0439<\/td>\n<\/tr>\n<tr>\n<td>\u0412\u043e\u0437\u043c\u043e\u0436\u043d\u043e\u0441\u0442\u044c \u0444\u0438\u043b\u044c\u0442\u0440\u043e\u0432\u0430\u0442\u044c \u043a\u043e\u043c\u043f\u043e\u043d\u0435\u043d\u0442\u044b \u0441 \u043e\u0442\u043a\u0440\u044b\u0442\u044b\u043c \u0438\u0441\u0445\u043e\u0434\u043d\u044b\u043c \u043a\u043e\u0434\u043e\u043c \u043f\u0440\u0438 \u043f\u043e\u043f\u044b\u0442\u043a\u0435 \u0437\u0430\u0433\u0440\u0443\u0437\u043a\u0438 \u0432 \u043a\u043e\u043d\u0442\u0443\u0440 \u0440\u0430\u0437\u0440\u0430\u0431\u043e\u0442\u043a\u0438 \u0441\u043e\u0433\u043b\u0430\u0441\u043d\u043e \u0441\u043a\u043e\u043d\u0444\u0438\u0433\u0443\u0440\u0438\u0440\u043e\u0432\u0430\u043d\u043d\u044b\u043c \u043f\u043e\u043b\u0438\u0442\u0438\u043a\u0430\u043c<\/td>\n<td>+<\/td>\n<td>&#8212;<\/td>\n<td>&#8212;<\/td>\n<\/tr>\n<tr>\n<td>\u0420\u0435\u043a\u043e\u043c\u0435\u043d\u0434\u0430\u0446\u0438\u0438 \u043f\u043e \u0438\u0441\u043f\u0440\u0430\u0432\u043b\u0435\u043d\u0438\u044e \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0435\u0439, \u043d\u0430\u043b\u0438\u0447\u0438\u0435 \u0441\u0441\u044b\u043b\u043e\u043a \u043d\u0430 \u0438\u0441\u043f\u0440\u0430\u0432\u043b\u0435\u043d\u0438\u0435<\/td>\n<td>+<\/td>\n<td>+- (\u0437\u0430\u0432\u0438\u0441\u0438\u0442 \u043e\u0442 \u043e\u043f\u0438\u0441\u0430\u043d\u0438\u044f \u0432 \u043f\u0443\u0431\u043b\u0438\u0447\u043d\u044b\u0445 \u0431\u0430\u0437\u0430\u0445)<\/td>\n<td>+- (\u0437\u0430\u0432\u0438\u0441\u0438\u0442 \u043e\u0442 \u043e\u043f\u0438\u0441\u0430\u043d\u0438\u044f \u0432 \u043f\u0443\u0431\u043b\u0438\u0447\u043d\u044b\u0445 \u0431\u0430\u0437\u0430\u0445)<\/td>\n<\/tr>\n<tr>\n<td>\u0420\u0430\u043d\u0436\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u0435 \u043e\u0431\u043d\u0430\u0440\u0443\u0436\u0435\u043d\u043d\u044b\u0445 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0435\u0439 \u043f\u043e \u0441\u0442\u0435\u043f\u0435\u043d\u0438 \u043a\u0440\u0438\u0442\u0438\u0447\u043d\u043e\u0441\u0442\u0438<\/td>\n<td>+<\/td>\n<td>+<\/td>\n<td>+<\/td>\n<\/tr>\n<tr>\n<td>\u0420\u043e\u043b\u0435\u0432\u0430\u044f \u043c\u043e\u0434\u0435\u043b\u044c \u0434\u043e\u0441\u0442\u0443\u043f\u0430<\/td>\n<td>+<\/td>\n<td>&#8212;<\/td>\n<td>+<\/td>\n<\/tr>\n<tr>\n<td>\u041f\u043e\u0434\u0434\u0435\u0440\u0436\u043a\u0430 \u0438\u043d\u0442\u0435\u0440\u0444\u0435\u0439\u0441\u0430 \u043a\u043e\u043c\u0430\u043d\u0434\u043d\u043e\u0439 \u0441\u0442\u0440\u043e\u043a\u0438 CLI<\/td>\n<td>+<\/td>\n<td>+<\/td>\n<td>+- (\u0442\u043e\u043b\u044c\u043a\u043e \u0434\u043b\u044f CycloneDX)<\/td>\n<\/tr>\n<tr>\n<td>\u0412\u044b\u0431\u043e\u0440\u043a\u0430 \/ \u0441\u043e\u0440\u0442\u0438\u0440\u043e\u0432\u043a\u0430 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0435\u0439 \u043f\u043e \u043e\u043f\u0440\u0435\u0434\u0435\u043b\u044f\u0435\u043c\u044b\u043c \u043a\u0440\u0438\u0442\u0435\u0440\u0438\u044f\u043c<\/td>\n<td>+<\/td>\n<td>&#8212;<\/td>\n<td>+<\/td>\n<\/tr>\n<tr>\n<td>Dashboard \u043f\u043e \u0441\u043e\u0441\u0442\u043e\u044f\u043d\u0438\u044e \u043f\u0440\u0438\u043b\u043e\u0436\u0435\u043d\u0438\u0439<\/td>\n<td>+<\/td>\n<td>&#8212;<\/td>\n<td>+<\/td>\n<\/tr>\n<tr>\n<td>\u0413\u0435\u043d\u0435\u0440\u0430\u0446\u0438\u044f \u043e\u0442\u0447\u0451\u0442\u043e\u0432 \u0432 PDF-\u0444\u043e\u0440\u043c\u0430\u0442\u0435<\/td>\n<td>+<\/td>\n<td>&#8212;<\/td>\n<td>&#8212;<\/td>\n<\/tr>\n<tr>\n<td>\u0413\u0435\u043d\u0435\u0440\u0430\u0446\u0438\u044f \u043e\u0442\u0447\u0451\u0442\u043e\u0432 \u0432 \u0444\u043e\u0440\u043c\u0430\u0442\u0435 JSON\\CSV<\/td>\n<td>+<\/td>\n<td>+<\/td>\n<td>&#8212;<\/td>\n<\/tr>\n<tr>\n<td>\u041f\u043e\u0434\u0434\u0435\u0440\u0436\u043a\u0430 \u0440\u0443\u0441\u0441\u043a\u043e\u0433\u043e \u044f\u0437\u044b\u043a\u0430<\/td>\n<td>&#8212;<\/td>\n<td>&#8212;<\/td>\n<td>&#8212;<\/td>\n<\/tr>\n<\/table>\n<\/div>\n<p>  \u0418\u043d\u0442\u0435\u0433\u0440\u0430\u0446\u0438\u043e\u043d\u043d\u044b\u0435 \u0432\u043e\u0437\u043c\u043e\u0436\u043d\u043e\u0441\u0442\u0438  <\/p>\n<div class=\"scrollable-table\">\n<table>\n<tr>\n<th>\u0418\u043d\u0442\u0435\u0433\u0440\u0430\u0446\u0438\u044f<\/th>\n<th>Nexus IQ<\/th>\n<th>Dependency Check<\/th>\n<th>Dependency Track<\/th>\n<\/tr>\n<tr>\n<td>\u0418\u043d\u0442\u0435\u0433\u0440\u0430\u0446\u0438\u044f \u0441 LDAP\/Active Directory<\/td>\n<td>+<\/td>\n<td>&#8212;<\/td>\n<td>+<\/td>\n<\/tr>\n<tr>\n<td>\u0418\u043d\u0442\u0435\u0433\u0440\u0430\u0446\u0438\u044f \u0441 \u0441\u0438\u0441\u0442\u0435\u043c\u043e\u0439 \u043d\u0435\u043f\u0440\u0435\u0440\u044b\u0432\u043d\u043e\u0439 \u0438\u043d\u0442\u0435\u0433\u0440\u0430\u0446\u0438\u0438 (continous integration) Bamboo<\/td>\n<td>+<\/td>\n<td>&#8212;<\/td>\n<td>&#8212;<\/td>\n<\/tr>\n<tr>\n<td>\u0418\u043d\u0442\u0435\u0433\u0440\u0430\u0446\u0438\u044f \u0441 \u0441\u0438\u0441\u0442\u0435\u043c\u043e\u0439 \u043d\u0435\u043f\u0440\u0435\u0440\u044b\u0432\u043d\u043e\u0439 \u0438\u043d\u0442\u0435\u0433\u0440\u0430\u0446\u0438\u0438 (continous integration) TeamCity<\/td>\n<td>+<\/td>\n<td>&#8212;<\/td>\n<td>&#8212;<\/td>\n<\/tr>\n<tr>\n<td>\u0418\u043d\u0442\u0435\u0433\u0440\u0430\u0446\u0438\u044f \u0441 \u0441\u0438\u0441\u0442\u0435\u043c\u043e\u0439 \u043d\u0435\u043f\u0440\u0435\u0440\u044b\u0432\u043d\u043e\u0439 \u0438\u043d\u0442\u0435\u0433\u0440\u0430\u0446\u0438\u0438 (continous integration) GitLab<\/td>\n<td>+<\/td>\n<td>+- (\u0432 \u0432\u0438\u0434\u0435 \u043f\u043b\u0430\u0433\u0438\u043d\u0430 \u0434\u043b\u044f GitLab)<\/td>\n<td>+<\/td>\n<\/tr>\n<tr>\n<td>\u0418\u043d\u0442\u0435\u0433\u0440\u0430\u0446\u0438\u044f \u0441 \u0441\u0438\u0441\u0442\u0435\u043c\u043e\u0439 \u043d\u0435\u043f\u0440\u0435\u0440\u044b\u0432\u043d\u043e\u0439 \u0438\u043d\u0442\u0435\u0433\u0440\u0430\u0446\u0438\u0438 (continous integration) Jenkins<\/td>\n<td>+<\/td>\n<td>+<\/td>\n<td>+<\/td>\n<\/tr>\n<tr>\n<td>\u041d\u0430\u043b\u0438\u0447\u0438\u0435 \u043f\u043b\u0430\u0433\u0438\u043d\u043e\u0432 \u043a IDE<\/td>\n<td>+ IntelliJ, Eclipse, Visual Studio<\/td>\n<td>&#8212;<\/td>\n<td>&#8212;<\/td>\n<\/tr>\n<tr>\n<td>\u041f\u043e\u0434\u0434\u0435\u0440\u0436\u043a\u0430 \u043a\u0430\u0441\u0442\u043e\u043c\u0438\u0437\u0438\u0440\u043e\u0432\u0430\u043d\u043d\u043e\u0439 \u0438\u043d\u0442\u0435\u0433\u0440\u0430\u0446\u0438\u0438 \u0447\u0435\u0440\u0435\u0437 web-services (API) \u0438\u043d\u0441\u0442\u0440\u0443\u043c\u0435\u043d\u0442\u0430<\/td>\n<td>+<\/td>\n<td>&#8212;<\/td>\n<td>+<\/td>\n<\/tr>\n<\/table>\n<\/div>\n<h3>Dependency Check<\/h3>\n<p>  <\/p>\n<h4>\u041f\u0435\u0440\u0432\u044b\u0439 \u0437\u0430\u043f\u0443\u0441\u043a<\/h4>\n<p>  \u0417\u0430\u043f\u0443\u0441\u0442\u0438\u043c Dependency Check \u043a \u0443\u043c\u044b\u0448\u043b\u0435\u043d\u043d\u043e \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u043c\u0443 \u043f\u0440\u0438\u043b\u043e\u0436\u0435\u043d\u0438\u044e <a href=\"https:\/\/github.com\/appsecco\/dvja\">DVJA<\/a>.<\/p>\n<p>  \u0414\u043b\u044f \u044d\u0442\u043e\u0433\u043e \u0432\u043e\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u0435\u043c\u0441\u044f <a href=\"https:\/\/github.com\/jeremylong\/DependencyCheck\">Dependency Check Maven Plugin<\/a>:<\/p>\n<pre><code class=\"plaintext\">mvn org.owasp:dependency-check-maven:check<\/code><\/pre>\n<p>  \u0412 \u0440\u0435\u0437\u0443\u043b\u044c\u0442\u0430\u0442\u0435 \u0432 \u0434\u0438\u0440\u0435\u043a\u0442\u043e\u0440\u0438\u0438 target \u043f\u043e\u044f\u0432\u0438\u0442\u0441\u044f dependency-check-report.html.<\/p>\n<p>  <img decoding=\"async\" src=\"https:\/\/habrastorage.org\/webt\/-7\/ez\/45\/-7ez45zw76x087edt7pncx3y1da.png\"\/><\/p>\n<p>  \u041e\u0442\u043a\u0440\u043e\u0435\u043c \u0444\u0430\u0439\u043b. \u041f\u043e\u0441\u043b\u0435 \u0441\u0432\u043e\u0434\u043d\u043e\u0439 \u0438\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u0438 \u043e\u0431 \u043e\u0431\u0449\u0435\u043c \u043a\u043e\u043b\u0438\u0447\u0435\u0441\u0442\u0432\u0435 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0435\u0439 \u043c\u043e\u0436\u0435\u043c \u0443\u0432\u0438\u0434\u0435\u0442\u044c \u0438\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u044e \u043e\u0431 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044f\u0445 \u0441 \u0432\u044b\u0441\u043e\u043a\u0438\u043c \u0443\u0440\u043e\u0432\u043d\u0435\u043c Severity \u0438 Confidence \u0441 \u0443\u043a\u0430\u0437\u0430\u043d\u0438\u0435\u043c \u043d\u0430 \u043f\u0430\u043a\u0435\u0442, CPE, \u0447\u0438\u0441\u043b\u043e CVE.<\/p>\n<p>  \u0421\u043b\u0435\u0434\u043e\u043c \u0438\u0434\u0435\u0442 \u0431\u043e\u043b\u0435\u0435 \u043f\u043e\u0434\u0440\u043e\u0431\u043d\u0430\u044f \u0438\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u044f, \u0432 \u0447\u0430\u0441\u0442\u043d\u043e\u0441\u0442\u0438 \u0442\u043e, \u043d\u0430 \u043e\u0441\u043d\u043e\u0432\u0435 \u0447\u0435\u0433\u043e \u0431\u044b\u043b\u043e \u043f\u0440\u0438\u043d\u044f\u0442\u043e \u0440\u0435\u0448\u0435\u043d\u0438\u0435 (evidence), \u0442\u043e \u0435\u0441\u0442\u044c \u043d\u0435\u043a\u0438\u0439 BOM.<\/p>\n<p>  <img decoding=\"async\" src=\"https:\/\/habrastorage.org\/webt\/qp\/nc\/1f\/qpnc1fniiadfrcqbp-vkuro4g6k.png\"\/><\/p>\n<p>  \u0414\u0430\u043b\u0435\u0435 \u0438\u0434\u0435\u0442 CPE, PURL \u0438 \u043e\u043f\u0438\u0441\u0430\u043d\u0438\u0435 CVE. \u0420\u0435\u043a\u043e\u043c\u0435\u043d\u0434\u0430\u0446\u0438\u0438 \u043e\u0431 \u0438\u0441\u043f\u0440\u0430\u0432\u043b\u0435\u043d\u0438\u0438 \u043a\u0441\u0442\u0430\u0442\u0438 \u043d\u0435 \u043f\u0440\u0438\u043b\u0430\u0433\u0430\u044e\u0442\u0441\u044f \u0432 \u0441\u0438\u043b\u0443 \u043e\u0442\u0441\u0443\u0442\u0441\u0442\u0432\u0438\u044f \u0438\u0445 \u0432 \u0431\u0430\u0437\u0435 NVD.<\/p>\n<p>  <img decoding=\"async\" src=\"https:\/\/habrastorage.org\/webt\/x-\/b5\/fw\/x-b5fwqx_5gmvcy0qyoz6va4ycq.png\"\/><\/p>\n<p>  \u0414\u043b\u044f \u0441\u0438\u0441\u0442\u0435\u043c\u0430\u0442\u0438\u0447\u043d\u043e\u0433\u043e \u043f\u0440\u043e\u0441\u043c\u043e\u0442\u0440\u0430 \u0440\u0435\u0437\u0443\u043b\u044c\u0442\u0430\u0442\u043e\u0432 \u0441\u043a\u0430\u043d\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u044f \u043c\u043e\u0436\u043d\u043e \u043d\u0430\u0441\u0442\u0440\u043e\u0438\u0442\u044c Nginx \u0441 \u043c\u0438\u043d\u0438\u043c\u0430\u043b\u044c\u043d\u044b\u043c\u0438 \u043d\u0430\u0441\u0442\u0440\u043e\u0439\u043a\u0430\u043c\u0438, \u043b\u0438\u0431\u043e \u043e\u0442\u043f\u0440\u0430\u0432\u043b\u044f\u0442\u044c \u043f\u043e\u043b\u0443\u0447\u0435\u043d\u043d\u044b\u0435 \u0434\u0435\u0444\u0435\u043a\u0442\u044b \u0432 \u0441\u0438\u0441\u0442\u0435\u043c\u0443 \u0443\u043f\u0440\u0430\u0432\u043b\u0435\u043d\u0438\u044f \u0434\u0435\u0444\u0435\u043a\u0442\u0430\u043c\u0438, \u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u043f\u043e\u0434\u0434\u0435\u0440\u0436\u0438\u0432\u0430\u044e\u0442 \u043a\u043e\u043d\u0435\u043a\u0442\u043e\u0440\u044b \u043a Dependency Check. \u041d\u0430\u043f\u0440\u0438\u043c\u0435\u0440, Defect Dojo. <\/p>\n<h3>Dependency Track<\/h3>\n<p>  <\/p>\n<h4>\u0423\u0441\u0442\u0430\u043d\u043e\u0432\u043a\u0430<\/h4>\n<p>  Dependency Track, \u0432 \u0441\u0432\u043e\u044e \u043e\u0447\u0435\u0440\u0435\u0434\u044c, \u044f\u0432\u043b\u044f\u0435\u0442\u0441\u044f \u0432\u0435\u0431-\u043f\u043b\u0430\u0442\u0444\u043e\u0440\u043c\u043e\u0439 \u0441 \u043e\u0442\u043e\u0431\u0440\u0430\u0436\u0430\u044e\u0449\u0438\u043c\u0438 \u0433\u0440\u0430\u0444\u0438\u043a\u0430\u043c\u0438, \u043f\u043e\u044d\u0442\u043e\u043c\u0443 \u043e\u0441\u0442\u0440\u044b\u0439 \u0432\u043e\u043f\u0440\u043e\u0441 \u043e \u0445\u0440\u0430\u043d\u0435\u043d\u0438\u0438 \u0434\u0435\u0444\u0435\u043a\u0442\u043e\u0432 \u0432 \u0441\u0442\u043e\u0440\u043e\u043d\u043d\u0435\u043c \u0440\u0435\u0448\u0435\u043d\u0438\u0438 \u0437\u0434\u0435\u0441\u044c \u043d\u0435 \u0441\u0442\u043e\u0438\u0442. <br \/>  \u0414\u043b\u044f \u0443\u0441\u0442\u0430\u043d\u043e\u0432\u043a\u0438 \u0435\u0441\u0442\u044c \u0441\u043b\u0435\u0434\u0443\u044e\u0449\u0438\u0435 \u043f\u043e\u0434\u0434\u0435\u0440\u0436\u0438\u0432\u0430\u0435\u043c\u044b\u0435 \u0441\u0446\u0435\u043d\u0430\u0440\u0438\u0438: Docker, WAR, Executable WAR. <\/p>\n<h4>\u041f\u0435\u0440\u0432\u044b\u0439 \u0437\u0430\u043f\u0443\u0441\u043a<\/h4>\n<p>  \u041f\u0435\u0440\u0435\u0445\u043e\u0434\u0438\u043c \u043f\u043e URL \u0437\u0430\u043f\u0443\u0449\u0435\u043d\u043d\u043e\u0433\u043e \u0441\u0435\u0440\u0432\u0438\u0441\u0430. \u0412\u0445\u043e\u0434\u0438\u043c \u0447\u0435\u0440\u0435\u0437 admin\/admin, \u043c\u0435\u043d\u044f\u0435\u043c \u043b\u043e\u0433\u0438\u043d \u0438 \u043f\u0430\u0440\u043e\u043b\u044c, \u043f\u043e\u0441\u043b\u0435 \u0447\u0435\u0433\u043e \u043f\u043e\u043f\u0430\u0434\u0430\u0435\u043c \u043d\u0430 Dashboard. \u0421\u043b\u0435\u0434\u0443\u044e\u0449\u0435\u0435, \u0447\u0442\u043e \u043c\u044b \u0441\u0434\u0435\u043b\u0430\u0435\u043c \u2014 \u0441\u043e\u0437\u0434\u0430\u0434\u0438\u043c \u043f\u0440\u043e\u0435\u043a\u0442 \u0434\u043b\u044f \u0442\u0435\u0441\u0442\u043e\u0432\u043e\u0433\u043e \u043f\u0440\u0438\u043b\u043e\u0436\u0435\u043d\u0438\u044f \u043d\u0430 Java \u0432<i> Home\/Projects \u2192 Create Project <\/i>. \u0412 \u043a\u0430\u0447\u0435\u0441\u0442\u0432\u0435 \u043f\u0440\u0438\u043c\u0435\u0440\u0430 \u0432\u043e\u0437\u044c\u043c\u0435\u043c DVJA.<\/p>\n<p>  <img decoding=\"async\" src=\"https:\/\/habrastorage.org\/webt\/wc\/6g\/f6\/wc6gf6m_zgbbbwvigqenztyhccw.png\"\/><\/p>\n<p>  \u0422\u0430\u043a \u043a\u0430\u043a Dependency Track \u043c\u043e\u0436\u0435\u0442 \u043f\u0440\u0438\u043d\u0438\u043c\u0430\u0442\u044c \u0432 \u043a\u0430\u0447\u0435\u0441\u0442\u0432\u0435 \u0432\u0445\u043e\u0434\u043d\u044b\u0445 \u0434\u0430\u043d\u043d\u044b\u0445 \u0442\u043e\u043b\u044c\u043a\u043e BOM, \u044d\u0442\u043e\u0442 BOM \u043d\u0435\u043e\u0431\u0445\u043e\u0434\u0438\u043c\u043e \u043f\u043e\u043b\u0443\u0447\u0438\u0442\u044c. \u0412\u043e\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u0435\u043c\u0441\u044f <a href=\"https:\/\/github.coam\/CycloneDX\/cyclonedx-maven-plugin\">CycloneDX Maven Plugin<\/a>:<\/p>\n<pre><code class=\"plaintext\">mvn org.cyclonedx:cyclonedx-maven-plugin:makeAggregateBom<\/code><\/pre>\n<p>  \u041f\u043e\u043b\u0443\u0447\u0430\u0435\u043c bom.xml \u0438 \u0437\u0430\u0433\u0440\u0443\u0436\u0430\u0435\u043c \u0444\u0430\u0439\u043b \u0432 \u0441\u043e\u0437\u0434\u0430\u043d\u043d\u043e\u043c \u043f\u0440\u043e\u0435\u043a\u0442\u0435 <i>DVJA \u2192 Dependeencies \u2192 Upload BOM<\/i>.<\/p>\n<p>  \u0417\u0430\u0439\u0434\u0435\u043c \u0432 Administration \u2192 Analyzers. \u041f\u043e\u043d\u0438\u043c\u0430\u0435\u043c, \u0447\u0442\u043e \u0443 \u043d\u0430\u0441 \u0432\u043a\u043b\u044e\u0447\u0435\u043d \u0442\u043e\u043b\u044c\u043a\u043e Internal Analyzer, \u0432\u043a\u043b\u044e\u0447\u0430\u044e\u0449\u0438\u0439 NVD. \u041f\u043e\u0434\u043a\u043b\u044e\u0447\u0438\u043c \u0442\u0430\u043a\u0436\u0435 Sonatype OSS Index.<\/p>\n<p>  <img decoding=\"async\" src=\"https:\/\/habrastorage.org\/webt\/zf\/fq\/d8\/zffqd8ropnykkoglkoahvknq2km.png\"\/><\/p>\n<p>  \u0422\u0430\u043a\u0438\u043c \u043e\u0431\u0440\u0430\u0437\u043e\u043c, \u043f\u043e\u043b\u0443\u0447\u0438\u043c \u0441\u043b\u0435\u0434\u0443\u044e\u0449\u0443\u044e \u043a\u0430\u0440\u0442\u0438\u043d\u0443 \u0434\u043b\u044f \u043d\u0430\u0448\u0435\u0433\u043e \u043f\u0440\u043e\u0435\u043a\u0442\u0430:<\/p>\n<p>  <img decoding=\"async\" src=\"https:\/\/habrastorage.org\/webt\/ul\/oa\/db\/uloadburbvueg9ez_nfsjyamfos.png\"\/><\/p>\n<p>  \u0422\u0430\u043a\u0436\u0435 \u0432 \u0441\u043f\u0438\u0441\u043a\u0435 \u043c\u043e\u0436\u043d\u043e \u043d\u0430\u0439\u0442\u0438 \u043e\u0434\u043d\u0443 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c, \u043f\u0440\u0438\u043c\u0435\u043d\u0438\u043c\u0443\u044e \u043a Sonatype OSS:<\/p>\n<p>  <img decoding=\"async\" src=\"https:\/\/habrastorage.org\/webt\/vk\/ag\/qk\/vkagqka2mrig63_6fi7bf7hlatu.png\"\/><\/p>\n<p>  \u041e\u0441\u043d\u043e\u0432\u043d\u043e\u0435 \u0440\u0430\u0437\u043e\u0447\u0430\u0440\u043e\u0432\u0430\u043d\u0438\u0435 \u0431\u044b\u043b\u043e \u0432 \u0442\u043e\u043c, \u0447\u0442\u043e Dependency Track \u0431\u043e\u043b\u044c\u0448\u0435 \u043d\u0435 \u043f\u0440\u0438\u043d\u0438\u043c\u0430\u0435\u0442 xml-\u043e\u0442\u0447\u0435\u0442\u044b Dependency Check. \u041f\u043e\u0441\u043b\u0435\u0434\u043d\u0438\u0435 \u043f\u043e\u0434\u0434\u0435\u0440\u0436\u0438\u0432\u0430\u0435\u043c\u044b\u0435 \u0432\u0435\u0440\u0441\u0438\u0438 \u0438\u043d\u0442\u0435\u0433\u0440\u0430\u0446\u0438\u0438 \u0441 Dependency Check \u0431\u044b\u043b\u0438 1.0.0 \u2014 4.0.2, \u0432 \u0442\u043e \u0432\u0440\u0435\u043c\u044f \u043a\u0430\u043a \u044f \u0442\u0435\u0441\u0442\u0438\u0440\u043e\u0432\u0430\u043b 5.3.2.<\/p>\n<p>  \u0412\u043e\u0442 <a href=\"https:\/\/youtu.be\/d2WMONyBbTw\">\u0432\u0438\u0434\u0435\u043e<\/a> (\u0438 <a href=\"https:\/\/youtu.be\/IPWPISSk5rc\">\u0432\u043e\u0442<\/a>), \u043a\u043e\u0433\u0434\u0430 \u044d\u0442\u043e \u0431\u044b\u043b\u043e \u0435\u0449\u0435 \u0432\u043e\u0437\u043c\u043e\u0436\u043d\u043e. <\/p>\n<h3>Nexus IQ <\/h3>\n<p>  <\/p>\n<h4>\u041f\u0435\u0440\u0432\u044b\u0439 \u0437\u0430\u043f\u0443\u0441\u043a<\/h4>\n<p>  \u0423\u0441\u0442\u0430\u043d\u043e\u0432\u043a\u0430 Nexus IQ \u043f\u0440\u043e\u0438\u0441\u0445\u043e\u0434\u0438\u0442 \u0438\u0437 \u0430\u0440\u0445\u0438\u0432\u043e\u0432 \u043f\u043e <a href=\"https:\/\/help.sonatype.com\/iqserver\/installing\/iq-server-installation\">\u0434\u043e\u043a\u0443\u043c\u0435\u043d\u0442\u0430\u0446\u0438\u0438<\/a>, \u043d\u043e \u043c\u044b \u0434\u043b\u044f \u044d\u0442\u0438\u0445 \u0446\u0435\u043b\u0435\u0439 \u0441\u043e\u0431\u0440\u0430\u043b\u0438 \u0441\u0435\u0431\u0435 \u043e\u0431\u0440\u0430\u0437 Docker.<\/p>\n<p>  \u041f\u043e\u0441\u043b\u0435 \u0432\u0445\u043e\u0434\u0430 \u0432 \u043a\u043e\u043d\u0441\u043e\u043b\u044c \u043d\u0435\u043e\u0431\u0445\u043e\u0434\u0438\u043c\u043e \u0441\u043e\u0437\u0434\u0430\u0442\u044c \u041e\u0440\u0433\u0430\u043d\u0438\u0437\u0430\u0446\u0438\u044e \u0438 \u041f\u0440\u0438\u043b\u043e\u0436\u0435\u043d\u0438\u0435.<\/p>\n<p>  <img decoding=\"async\" src=\"https:\/\/habrastorage.org\/webt\/1l\/ku\/7h\/1lku7hxu0iktlchvywarkae-uj4.png\"\/><\/p>\n<p>  <img decoding=\"async\" src=\"https:\/\/habrastorage.org\/webt\/dj\/jz\/ch\/djjzchqgh70ne0x_4oyeotwbi9u.png\"\/><\/p>\n<p>  <img decoding=\"async\" src=\"https:\/\/habrastorage.org\/webt\/t1\/wm\/ky\/t1wmkyndmbeclpqazldwykyxlaq.png\"\/><\/p>\n<p>  \u041a\u0430\u043a \u043c\u043e\u0436\u043d\u043e \u0432\u0438\u0434\u0435\u0442\u044c, \u043d\u0430\u0441\u0442\u0440\u043e\u0439\u043a\u0430 \u0432 \u0441\u043b\u0443\u0447\u0430\u0435 \u0441 IQ \u043f\u0440\u043e\u0438\u0441\u0445\u043e\u0434\u0438\u0442 \u043d\u0435\u0441\u043a\u043e\u043b\u044c\u043a\u043e \u0441\u043b\u043e\u0436\u043d\u0435\u0435, \u0438\u0431\u043e \u043d\u0430\u043c \u0442\u0430\u043a\u0436\u0435 \u043d\u0435\u043e\u0431\u0445\u043e\u0434\u0438\u043c\u043e \u0441\u043e\u0437\u0434\u0430\u0442\u044c \u043f\u043e\u043b\u0438\u0442\u0438\u043a\u0438, \u043f\u0440\u0438\u043c\u0435\u043d\u0438\u043c\u044b\u0435 \u0434\u043b\u044f \u0440\u0430\u0437\u043d\u044b\u0445 \u201c\u0441\u0442\u0435\u0439\u0434\u0436\u0435\u0439\u201d (dev, build, stage, release). \u042d\u0442\u043e \u043d\u0435\u043e\u0431\u0445\u043e\u0434\u0438\u043c\u043e, \u0447\u0442\u043e\u0431\u044b \u0431\u043b\u043e\u043a\u0438\u0440\u043e\u0432\u0430\u0442\u044c \u0443\u044f\u0437\u0432\u0438\u043c\u044b\u0435 \u043a\u043e\u043c\u043f\u043e\u043d\u0435\u043d\u0442\u044b \u043f\u043e \u043c\u0435\u0440\u0435 \u043f\u0440\u043e\u0434\u0432\u0438\u0436\u0435\u043d\u0438\u044f \u043f\u043e \u043f\u0430\u0439\u043f\u043b\u0430\u0439\u043d\u0443 \u0431\u043b\u0438\u0436\u0435 \u043a \u043f\u0440\u043e\u0434\u0443, \u043b\u0438\u0431\u043e \u0431\u043b\u043e\u043a\u0438\u0440\u043e\u0432\u0430\u0442\u044c \u043a\u0430\u043a \u0442\u043e\u043b\u044c\u043a\u043e \u043e\u043d\u0438 \u043f\u043e\u043f\u0430\u0434\u0430\u044e\u0442 \u0432 Nexus Repo \u043f\u0440\u0438 \u0441\u043a\u0430\u0447\u0438\u0432\u0430\u043d\u0438\u0438 \u0440\u0430\u0437\u0440\u0430\u0431\u043e\u0442\u0447\u0438\u043a\u0430\u043c\u0438.<\/p>\n<p>  \u0427\u0442\u043e\u0431\u044b \u043e\u0449\u0443\u0442\u0438\u0442\u044c \u0440\u0430\u0437\u043d\u0438\u0446\u0443 open source \u0438 enterprise, \u0432\u044b\u043f\u043e\u043b\u043d\u0438\u043c \u0442\u0430\u043a\u043e\u0435 \u0436\u0435 \u0441\u043a\u0430\u043d\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u0435 \u0447\u0435\u0440\u0435\u0437 Nexus IQ \u0430\u043d\u0430\u043b\u043e\u0433\u0438\u0447\u043d\u043e \u0447\u0435\u0440\u0435\u0437 <a href=\"https:\/\/help.sonatype.com\/integrations\/sonatype-clm-for-maven\">Maven plugin<\/a>, \u043f\u0440\u0435\u0434\u0432\u0430\u0440\u0438\u0442\u0435\u043b\u044c\u043d\u043e \u0441\u043e\u0437\u0434\u0430\u0432 \u0442\u0435\u0441\u0442\u043e\u0432\u043e\u0435 \u043f\u0440\u0438\u043b\u043e\u0436\u0435\u043d\u0438\u0435 \u0432 \u0438\u043d\u0442\u0435\u0440\u0444\u0435\u0439\u0441\u0435 NexusIQ <code>dvja-test-and-compare<\/code>:<\/p>\n<pre><code class=\"plaintext\">mvn com.sonatype.clm:clm-maven-plugin:evaluate -Dclm.applicationId=dvja-test-and-compare -Dclm.serverUrl=&lt;NEXUSIQIP&gt; -Dclm.username=&lt;USERNAME&gt; -Dclm.password=&lt;PASSWORD&gt; <\/code><\/pre>\n<p>  \u041f\u0435\u0440\u0435\u0445\u043e\u0434\u0438\u043c \u043f\u043e URL \u043a \u0441\u0433\u0435\u043d\u0435\u0440\u0438\u0440\u043e\u0432\u0430\u043d\u043d\u043e\u043c\u0443 \u043e\u0442\u0447\u0435\u0442\u0443 \u0432 \u0432\u0435\u0431-\u0438\u043d\u0442\u0435\u0440\u0444\u0435\u0439\u0441\u0435 IQ:<\/p>\n<p>  <img decoding=\"async\" src=\"https:\/\/habrastorage.org\/webt\/sl\/me\/g0\/slmeg0tqewmzdjuu03hmmwyhx8y.png\"\/><\/p>\n<p>  \u0417\u0434\u0435\u0441\u044c \u043c\u043e\u0436\u043d\u043e \u0443\u0432\u0438\u0434\u0435\u0442\u044c \u0432\u0441\u0435 \u043d\u0430\u0440\u0443\u0448\u0435\u043d\u0438\u044f \u043f\u043e\u043b\u0438\u0442\u0438\u043a\u0438 \u0441 \u0443\u043a\u0430\u0437\u0430\u043d\u0438\u0435\u043c \u0440\u0430\u0437\u043d\u043e\u0433\u043e \u0443\u0440\u043e\u0432\u043d\u044f \u0437\u043d\u0430\u0447\u0438\u043c\u043e\u0441\u0442\u0438 (\u043e\u0442 Info \u0434\u043e Security Critical). \u0411\u0443\u043a\u0432\u0430 D \u0440\u044f\u0434\u043e\u043c \u0441 \u043a\u043e\u043c\u043f\u043e\u043d\u0435\u043d\u0442\u043e\u0439 \u043e\u0437\u043d\u0430\u0447\u0430\u0435\u0442, \u0447\u0442\u043e \u043a\u043e\u043c\u043f\u043e\u043d\u0435\u043d\u0442\u0430 Direct\u00a0Dependency, \u0430 \u0431\u0443\u043a\u0432\u0430 T \u0440\u044f\u0434\u043e\u043c \u0441 \u043a\u043e\u043c\u043f\u043e\u043d\u0435\u043d\u0442\u043e\u043c \u043e\u0437\u043d\u0430\u0447\u0430\u0435\u0442, \u0447\u0442\u043e \u043a\u043e\u043c\u043f\u043e\u043d\u0435\u043d\u0442\u0430 Transitive\u00a0Dependency, \u0442\u043e \u0435\u0441\u0442\u044c \u044f\u0432\u043b\u044f\u0435\u0442\u0441\u044f \u0442\u0440\u0430\u043d\u0437\u0438\u0442\u0438\u0432\u043d\u043e\u0439.<\/p>\n<p>  \u041a\u0441\u0442\u0430\u0442\u0438, \u043e\u0442\u0447\u0435\u0442 <a href=\"https:\/\/snyk.io\/open-source-security\/\">State of Open Source Security Report 2020<\/a> \u043e\u0442 Snyk \u0441\u043e\u043e\u0431\u0449\u0430\u0435\u0442, \u0447\u0442\u043e \u0431\u043e\u043b\u0435\u0435 70% \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0435\u0439 open source \u043e\u0431\u043d\u0430\u0440\u0443\u0436\u0435\u043d\u043d\u044b\u0445 \u0432 Node.js, Java \u0438 Ruby \u043d\u0430\u0445\u043e\u0434\u044f\u0442\u0441\u044f \u0432 \u0442\u0440\u0430\u043d\u0437\u0438\u0442\u0438\u0432\u043d\u044b\u0445 \u0437\u0430\u0432\u0438\u0441\u0438\u043c\u043e\u0441\u0442\u044f\u0445.<\/p>\n<p>  \u0415\u0441\u043b\u0438 \u043e\u0442\u043a\u0440\u044b\u0442\u044c \u043e\u0434\u043d\u043e \u0438\u0437 \u043d\u0430\u0440\u0443\u0448\u0435\u043d\u0438\u0439 \u043f\u043e\u043b\u0438\u0442\u0438\u043a\u0438 Nexus IQ, \u043c\u044b \u043c\u043e\u0436\u0435\u043c \u0443\u0432\u0438\u0434\u0435\u0442\u044c \u043e\u043f\u0438\u0441\u0430\u043d\u0438\u0435 \u043a\u043e\u043c\u043f\u043e\u043d\u0435\u043d\u0442\u044b, \u0430 \u0442\u0430\u043a\u0436\u0435 Version Graph, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u043f\u043e\u043a\u0430\u0437\u044b\u0432\u0430\u0435\u0442 \u043c\u0435\u0441\u0442\u043e\u043f\u043e\u043b\u043e\u0436\u0435\u043d\u0438\u0435 \u0442\u0435\u043a\u0443\u0449\u0435\u0439 \u0432\u0435\u0440\u0441\u0438\u0438 \u043d\u0430 \u0432\u0440\u0435\u043c\u0435\u043d\u043d\u043e\u043c \u0433\u0440\u0430\u0444\u0435, \u0430 \u0442\u0430\u043a\u0436\u0435 \u0432 \u043a\u0430\u043a\u043e\u0439 \u043c\u043e\u043c\u0435\u043d\u0442 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c \u043f\u0435\u0440\u0435\u0441\u0442\u0430\u0435\u0442 \u0431\u044b\u0442\u044c \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0439. \u0412\u044b\u0441\u043e\u0442\u0430 \u0441\u0432\u0435\u0447\u0435\u0439 \u043d\u0430 \u0433\u0440\u0430\u0444\u0435 \u043f\u043e\u043a\u0430\u0437\u044b\u0432\u0430\u0435\u0442 \u043f\u043e\u043f\u0443\u043b\u044f\u0440\u043d\u043e\u0441\u0442\u044c \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043d\u0438\u044f \u044d\u0442\u043e\u0439 \u043a\u043e\u043c\u043f\u043e\u043d\u0435\u043d\u0442\u044b.<\/p>\n<p>  <img decoding=\"async\" src=\"https:\/\/habrastorage.org\/webt\/qd\/rb\/qz\/qdrbqzez2rwg1vc2sappdzvs66u.png\"\/><\/p>\n<p>  \u0415\u0441\u043b\u0438 \u043f\u0435\u0440\u0435\u0439\u0442\u0438 \u0432 \u0440\u0430\u0437\u0434\u0435\u043b \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0435\u0439 \u0438 \u0440\u0430\u0441\u043a\u0440\u044b\u0442\u044c CVE, \u0442\u043e \u043c\u043e\u0436\u043d\u043e \u043f\u0440\u043e\u0447\u0438\u0442\u0430\u0442\u044c \u043e\u043f\u0438\u0441\u0430\u043d\u0438\u0435 \u043a \u044d\u0442\u043e\u0439 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0438, \u0440\u0435\u043a\u043e\u043c\u0435\u043d\u0434\u0430\u0446\u0438\u0438 \u043f\u043e \u0443\u0441\u0442\u0440\u0430\u043d\u0435\u043d\u0438\u044e, \u0430 \u0442\u0430\u043a\u0436\u0435 \u043f\u0440\u0438\u0447\u0438\u043d\u0443, \u043f\u043e \u043a\u043e\u0442\u043e\u0440\u043e\u0439 \u0434\u0430\u043d\u043d\u0430\u044f \u043a\u043e\u043c\u043f\u043e\u043d\u0435\u043d\u0442\u0430 \u043f\u043e\u043f\u0430\u043b\u0430 \u043f\u043e\u0434 \u043d\u0430\u0440\u0443\u0448\u0435\u043d\u0438\u0435, \u0442\u043e \u0435\u0441\u0442\u044c \u043d\u0430\u043b\u0438\u0447\u0438\u0435 \u043a\u043b\u0430\u0441\u0441\u0430 <code>DiskFileitem.class<\/code>.<\/p>\n<p>  <img decoding=\"async\" src=\"https:\/\/habrastorage.org\/webt\/gy\/zo\/_v\/gyzo_vin0fsbucsapz6hkn3mqnc.png\"\/><\/p>\n<p>  <img decoding=\"async\" src=\"https:\/\/habrastorage.org\/webt\/sb\/x6\/eu\/sbx6euo3tckptoxedjzxczdfvc4.png\"\/><\/p>\n<p>  \u041f\u043e\u0434\u0432\u0435\u0434\u0435\u043c \u0438\u0442\u043e\u0433\u0438 \u0442\u043e\u043b\u044c\u043a\u043e \u043a\u0430\u0441\u0430\u044e\u0449\u0438\u0435\u0441\u044f \u0441\u0442\u043e\u0440\u043e\u043d\u043d\u0438\u0445 \u043a\u043e\u043c\u043f\u043e\u043d\u0435\u043d\u0442\u043e\u0432 Java, \u0443\u0431\u0440\u0430\u0432 \u043a\u043e\u043c\u043f\u043e\u043d\u0435\u043d\u0442\u044b js. \u0412 \u0441\u043a\u043e\u0431\u043a\u0430\u0445 \u0443\u043a\u0430\u0436\u0435\u043c \u0447\u0438\u0441\u043b\u043e \u0442\u0435\u0445 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0435\u0439, \u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u0431\u044b\u043b\u0438 \u043d\u0430\u0439\u0434\u0435\u043d\u044b \u0437\u0430 \u043f\u0440\u0435\u0434\u0435\u043b\u0430\u043c\u0438 NVD.<\/p>\n<p>  <b>\u0418\u0442\u043e\u0433\u043e Nexus IQ: <\/b><\/p>\n<ul>\n<li>Dependencies Scanned:\u00a062<\/li>\n<li>Vulnerable Dependencies:\u00a016<\/li>\n<li>Vulnerabilities Found:\u00a042 (8 sonatype db)<\/li>\n<\/ul>\n<p>  <b>\u0418\u0442\u043e\u0433\u043e Dependency Check: <\/b><\/p>\n<ul>\n<li>Dependencies Scanned:\u00a047<\/li>\n<li>Vulnerable Dependencies:\u00a013<\/li>\n<li>Vulnerabilities Found:\u00a091 (14 sonatype oss)<\/li>\n<\/ul>\n<p>  <b>\u0418\u0442\u043e\u0433\u043e Dependency Track: <\/b><\/p>\n<ul>\n<li>Dependencies Scanned: 59<\/li>\n<li>Vulnerable Dependencies:\u00a010<\/li>\n<li>Vulnerabilities Found:\u00a051 (1 sonatype oss)<\/li>\n<\/ul>\n<p>  \u0421\u043b\u0435\u0434\u0443\u044e\u0449\u0438\u043c \u0448\u0430\u0433\u043e\u0432 \u043f\u0440\u043e\u0430\u043d\u0430\u043b\u0438\u0437\u0438\u0440\u0443\u0435\u043c \u043f\u043e\u043b\u0443\u0447\u0435\u043d\u043d\u044b\u0435 \u0440\u0435\u0437\u0443\u043b\u044c\u0442\u0430\u0442\u044b \u0438 \u0440\u0430\u0437\u0431\u0435\u0440\u0435\u043c\u0441\u044f, \u0447\u0442\u043e \u0438\u0437 \u044d\u0442\u0438\u0445 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0435\u0439 \u044f\u0432\u043b\u044f\u0435\u0442\u0441\u044f \u0440\u0435\u0430\u043b\u044c\u043d\u044b\u043c \u0434\u0435\u0444\u0435\u043a\u0442\u043e\u043c, \u0430 \u0447\u0442\u043e \u043b\u043e\u0436\u043d\u044b\u043c \u0441\u0440\u0430\u0431\u0430\u0442\u044b\u0432\u0430\u043d\u0438\u0435\u043c.<\/p>\n<h3>\u0414\u0438\u0441\u043a\u043b\u0435\u0439\u043c\u0435\u0440<\/h3>\n<p>  \u0414\u0430\u043d\u043d\u043e\u0435 \u0440\u0435\u0432\u044c\u044e \u043d\u0435 \u044f\u0432\u043b\u044f\u0435\u0442\u0441\u044f \u043d\u0435\u043e\u0441\u043f\u043e\u0440\u0438\u043c\u043e\u0439 \u0438\u0441\u0442\u0438\u043d\u043e\u0439. \u041f\u0435\u0440\u0435\u0434 \u0430\u0432\u0442\u043e\u0440\u043e\u043c \u043d\u0435 \u0441\u0442\u043e\u044f\u043b\u043e \u0446\u0435\u043b\u0438 \u0432\u044b\u0434\u0435\u043b\u0438\u0442\u044c \u043e\u0442\u0434\u0435\u043b\u044c\u043d\u044b\u0439 \u0438\u043d\u0441\u0442\u0440\u0443\u043c\u0435\u043d\u0442 \u043d\u0430 \u0444\u043e\u043d\u0435 \u0434\u0440\u0443\u0433\u0438\u0445. \u0421\u043c\u044b\u0441\u043b \u0440\u0435\u0432\u044c\u044e \u0431\u044b\u043b \u043f\u043e\u043a\u0430\u0437\u0430\u0442\u044c \u043c\u0435\u0445\u0430\u043d\u0438\u0437\u043c\u044b \u0440\u0430\u0431\u043e\u0442\u044b \u0438\u043d\u0441\u0442\u0440\u0443\u043c\u0435\u043d\u0442\u043e\u0432 SCA \u0438 \u0441\u043f\u043e\u0441\u043e\u0431\u044b \u043f\u0440\u043e\u0432\u0435\u0440\u043a\u0438 \u0438\u0445 \u0440\u0435\u0437\u0443\u043b\u044c\u0442\u0430\u0442\u043e\u0432.<\/p>\n<h3>\u0421\u0440\u0430\u0432\u043d\u0435\u043d\u0438\u0435 \u0440\u0435\u0437\u0443\u043b\u044c\u0442\u0430\u0442\u043e\u0432<\/h3>\n<p>  <b>\u0423\u0441\u043b\u043e\u0432\u0438\u044f:<\/b><\/p>\n<p>  <b>\u041b\u043e\u0436\u043d\u044b\u043c \u0441\u0440\u0430\u0431\u0430\u0442\u044b\u0432\u0430\u043d\u0438\u0435\u043c \u043f\u043e \u043e\u0442\u043d\u043e\u0448\u0435\u043d\u0438\u044e \u043a \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044f\u043c \u0441\u0442\u043e\u0440\u043e\u043d\u043d\u0438\u0445 \u043a\u043e\u043c\u043f\u043e\u043d\u0435\u043d\u0442\u043e\u0432 \u044f\u0432\u043b\u044f\u0435\u0442\u0441\u044f:<\/b><\/p>\n<ul>\n<li><b>\u041d\u0435\u0441\u043e\u043e\u0442\u0432\u0435\u0442\u0441\u0442\u0432\u0438\u0435 CVE \u043a \u0432\u044b\u044f\u0432\u043b\u0435\u043d\u043d\u043e\u0439 \u043a\u043e\u043c\u043f\u043e\u043d\u0435\u043d\u0442\u0435<\/b><\/li>\n<li>\u041d\u0430\u043f\u0440\u0438\u043c\u0435\u0440, \u0435\u0441\u043b\u0438 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c \u0432\u044b\u044f\u0432\u043b\u0435\u043d\u0430 \u0432\u043e \u0444\u0440\u0435\u0439\u043c\u0432\u043e\u0440\u043a\u0435 struts2, \u0430 \u0438\u043d\u0441\u0442\u0440\u0443\u043c\u0435\u043d\u0442 \u0443\u043a\u0430\u0437\u044b\u0432\u0430\u0435\u0442 \u043d\u0430 \u043a\u043e\u043c\u043f\u043e\u043d\u0435\u043d\u0442\u0443 \u0444\u0440\u0435\u0439\u043c\u0432\u043e\u0440\u043a\u0430 struts-tiles, \u043a \u043a\u043e\u0442\u043e\u0440\u043e\u0439 \u044d\u0442\u0430 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c \u043d\u0435 \u043e\u0442\u043d\u043e\u0441\u0438\u0442\u0441\u044f, \u0442\u043e \u044d\u0442\u043e false positive<\/li>\n<li><b>\u041d\u0435\u0441\u043e\u043e\u0442\u0432\u0435\u0442\u0441\u0442\u0432\u0438\u0435 CVE \u043a \u0432\u044b\u044f\u0432\u043b\u0435\u043d\u043d\u043e\u0439 \u0432\u0435\u0440\u0441\u0438\u0438 \u043a\u043e\u043c\u043f\u043e\u043d\u0435\u043d\u0442\u044b<\/b><\/li>\n<li>\u041d\u0430\u043f\u0440\u0438\u043c\u0435\u0440, \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c \u043f\u0440\u0438\u0432\u044f\u0437\u0430\u043d\u0430 \u043a \u0432\u0435\u0440\u0441\u0438\u0438 python &gt; 3.5 \u0438 \u0438\u043d\u0441\u0442\u0440\u0443\u043c\u0435\u043d\u0442 \u043e\u0442\u043c\u0435\u0447\u0430\u0435\u0442 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0439 \u0432\u0435\u0440\u0441\u0438\u044e 2.7 \u2014 \u044d\u0442\u043e false positive, \u0442\u0430\u043a \u043a\u0430\u043a \u043d\u0430 \u0441\u0430\u043c\u043e\u043c \u0434\u0435\u043b\u0435 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c \u043e\u0442\u043d\u043e\u0441\u0438\u0442\u0441\u044f \u0442\u043e\u043b\u044c\u043a\u043e \u043a \u0432\u0435\u0442\u043a\u0435 \u043f\u0440\u043e\u0434\u0443\u043a\u0442\u0430 3.x <\/li>\n<li> <b>\u0414\u0443\u0431\u043b\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u0435 CVE<\/b><\/li>\n<li>\u041d\u0430\u043f\u0440\u0438\u043c\u0435\u0440, \u0435\u0441\u043b\u0438 SCA \u0443\u043a\u0430\u0437\u0430\u043b \u043d\u0430 CVE, \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u044e\u0449\u0443\u044e \u0440\u0435\u0430\u043b\u0438\u0437\u043e\u0432\u0430\u0442\u044c RCE, \u043f\u043e\u0441\u043b\u0435 \u0447\u0435\u0433\u043e SCA \u0443\u043a\u0430\u0437\u044b\u0432\u0430\u0435\u0442 \u0434\u043b\u044f \u044d\u0442\u043e\u0439 \u0436\u0435 \u043a\u043e\u043c\u043f\u043e\u043d\u0435\u043d\u0442\u044b CVE, \u043f\u0440\u0438\u043c\u0435\u043d\u0438\u043c\u0443\u044e \u043a \u043f\u0440\u043e\u0434\u0443\u043a\u0442\u0430\u043c Cisco, \u043f\u043e\u0434\u0432\u0435\u0440\u0436\u0435\u043d\u043d\u044b\u043c \u044d\u0442\u043e\u0439 RCE. \u0412 \u0442\u0430\u043a\u043e\u043c \u0441\u043b\u0443\u0447\u0430\u0435 \u0431\u0443\u0434\u0435\u0442 false positive.<\/li>\n<li>\u041d\u0430\u043f\u0440\u0438\u043c\u0435\u0440, CVE \u0431\u044b\u043b\u0430 \u043d\u0430\u0439\u0434\u0435\u043d\u0430 \u0432 \u043a\u043e\u043c\u043f\u043e\u043d\u0435\u043d\u0442\u0435 spring-web, \u043f\u043e\u0441\u043b\u0435 \u0447\u0435\u0433\u043e SCA \u0443\u043a\u0430\u0437\u044b\u0432\u0430\u0435\u0442 \u043d\u0430 \u044d\u0442\u0443 \u0436\u0435 CVE \u0432 \u0434\u0440\u0443\u0433\u0438\u0445 \u043a\u043e\u043c\u043f\u043e\u043d\u0435\u043d\u0442\u0430\u0445 \u0444\u0440\u0435\u0439\u043c\u0432\u043e\u0440\u043a\u0430 Spring Framework, \u0432 \u0442\u043e \u0432\u0440\u0435\u043c\u044f \u043a\u0430\u043a CVE \u043a \u0434\u0440\u0443\u0433\u0438\u043c \u043a\u043e\u043c\u043f\u043e\u043d\u0435\u043d\u0442\u0430\u043c \u043e\u0442\u043d\u043e\u0448\u0435\u043d\u0438\u044f \u043d\u0435 \u0438\u043c\u0435\u0435\u0442. \u0412 \u0442\u0430\u043a\u043e\u043c \u0441\u043b\u0443\u0447\u0430\u0435 \u0431\u0443\u0434\u0435\u0442 false positive. <\/li>\n<\/ul>\n<p>  \u041e\u0431\u044a\u0435\u043a\u0442\u043e\u043c \u0438\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u043d\u0438\u044f \u0432\u044b\u0431\u0440\u0430\u043d Open Source \u043f\u0440\u043e\u0435\u043a\u0442 DVJA. \u0412 \u0438\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u043d\u0438\u0438 \u0443\u0447\u0430\u0441\u0442\u0432\u043e\u0432\u0430\u043b\u0438 \u0442\u043e\u043b\u044c\u043a\u043e java \u043a\u043e\u043c\u043f\u043e\u043d\u0435\u043d\u0442\u044b (\u0431\u0435\u0437 js).<\/p>\n<h3>\u0421\u0432\u043e\u0434\u043d\u044b\u0435 \u0440\u0435\u0437\u0443\u043b\u044c\u0442\u0430\u0442\u044b<\/h3>\n<p>  \u041f\u0435\u0440\u0435\u0439\u0434\u0435\u043c \u0441\u0440\u0430\u0437\u0443 \u0432 \u0440\u0435\u0437\u0443\u043b\u044c\u0442\u0430\u0442\u043e\u043c \u0440\u0443\u0447\u043d\u043e\u0433\u043e \u0440\u0435\u0432\u044c\u044e \u0432\u044b\u044f\u0432\u043b\u0435\u043d\u043d\u044b\u0445 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0435\u0439. \u0421 \u043f\u043e\u043b\u043d\u044b\u043c \u043e\u0442\u0447\u0435\u0442\u043e\u043c \u0434\u043b\u044f \u043a\u0430\u0436\u0434\u043e\u0439 CVE \u043c\u043e\u0436\u043d\u043e \u043f\u043e\u0437\u043d\u0430\u043a\u043e\u043c\u0438\u0442\u044c\u0441\u044f \u0432 \u041f\u0440\u0438\u043b\u043e\u0436\u0435\u043d\u0438\u0438. <\/p>\n<p>  <i>\u0421\u0432\u043e\u0434\u043d\u044b\u0435 \u0440\u0435\u0437\u0443\u043b\u044c\u0442\u0430\u0442\u044b \u043f\u043e \u0432\u0441\u0435\u043c \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044f\u043c:<\/i>  <\/p>\n<div class=\"scrollable-table\">\n<table>\n<tr>\n<th>\u041f\u0430\u0440\u0430\u043c\u0435\u0442\u0440<\/th>\n<th>Nexus IQ<\/th>\n<th>Dependency Check<\/th>\n<th>Dependency Track<\/th>\n<\/tr>\n<tr>\n<td>\u0412\u0441\u0435\u0433\u043e \u0432\u044b\u044f\u0432\u043b\u0435\u043d\u043e \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0435\u0439<\/td>\n<td>42<\/td>\n<td>91<\/td>\n<td>51<\/td>\n<\/tr>\n<tr>\n<td>\u041d\u0435\u0432\u0435\u0440\u043d\u043e \u0432\u044b\u044f\u0432\u043b\u0435\u043d\u043e \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0435\u0439 (false positive)<\/td>\n<td>2(4.76%)<\/td>\n<td>62(68,13%)<\/td>\n<td>29(56.86%)<\/td>\n<\/tr>\n<tr>\n<td>\u041d\u0435 \u043e\u0431\u043d\u0430\u0440\u0443\u0436\u0435\u043d\u043e \u0440\u0435\u043b\u0435\u0432\u0430\u043d\u0442\u043d\u044b\u0445 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0435\u0439 (false negative)<\/td>\n<td>10<\/td>\n<td>20<\/td>\n<td>27<\/td>\n<\/tr>\n<\/table>\n<\/div>\n<p>  <i>\u0421\u0432\u043e\u0434\u043d\u044b\u0435 \u0440\u0435\u0437\u0443\u043b\u044c\u0442\u0430\u0442\u044b \u043f\u043e \u043a\u043e\u043c\u043f\u043e\u043d\u0435\u043d\u0442\u0430\u043c:<\/i>  <\/p>\n<div class=\"scrollable-table\">\n<table>\n<tr>\n<th>\u041f\u0430\u0440\u0430\u043c\u0435\u0442\u0440<\/th>\n<th>Nexus IQ<\/th>\n<th>Dependency Check<\/th>\n<th>Dependency Track<\/th>\n<\/tr>\n<tr>\n<td>\u0412\u0441\u0435\u0433\u043e \u0432\u044b\u044f\u0432\u043b\u0435\u043d\u043e \u043a\u043e\u043c\u043f\u043e\u043d\u0435\u043d\u0442\u043e\u0432<\/td>\n<td>62<\/td>\n<td>47<\/td>\n<td>59<\/td>\n<\/tr>\n<tr>\n<td>\u0412\u0441\u0435\u0433\u043e \u0443\u044f\u0437\u0432\u0438\u043c\u044b\u0445 \u043a\u043e\u043c\u043f\u043e\u043d\u0435\u043d\u0442\u043e\u0432<\/td>\n<td>16<\/td>\n<td>13<\/td>\n<td>10<\/td>\n<\/tr>\n<tr>\n<td>\u041d\u0435\u0432\u0435\u0440\u043d\u043e \u0432\u044b\u044f\u0432\u043b\u0435\u043d\u044b \u0443\u044f\u0437\u0432\u0438\u043c\u044b\u0435 \u043a\u043e\u043c\u043f\u043e\u043d\u0435\u043d\u0442\u044b (false positive)<\/td>\n<td>1<\/td>\n<td>5<\/td>\n<td>0<\/td>\n<\/tr>\n<tr>\n<td>\u041d\u0435\u0432\u0435\u0440\u043d\u043e \u0432\u044b\u044f\u0432\u043b\u0435\u043d\u044b \u0443\u044f\u0437\u0432\u0438\u043c\u044b\u0435 \u043a\u043e\u043c\u043f\u043e\u043d\u0435\u043d\u0442\u044b (false positive)<\/td>\n<td>0<\/td>\n<td>6<\/td>\n<td>6<\/td>\n<\/tr>\n<\/table>\n<\/div>\n<p>  \u041f\u043e\u0441\u0442\u0440\u043e\u0438\u043c \u0432\u0438\u0437\u0443\u0430\u043b\u044c\u043d\u044b\u0435 \u0433\u0440\u0430\u0444\u0438\u043a\u0438, \u0447\u0442\u043e\u0431\u044b \u043e\u0446\u0435\u043d\u0438\u0442\u044c \u0441\u043e\u043e\u0442\u043d\u043e\u0448\u0435\u043d\u0438\u0435 false positive \u0438 false negative \u043a \u043e\u0431\u0449\u0435\u043c\u0443 \u0447\u0438\u0441\u043b\u0443 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0435\u0439. \u041f\u043e \u0433\u043e\u0440\u0438\u0437\u043e\u043d\u0442\u0430\u043b\u0438 \u043e\u0442\u043c\u0435\u0447\u0435\u043d\u044b \u043a\u043e\u043c\u043f\u043e\u043d\u0435\u043d\u0442\u044b, \u0430 \u043f\u043e \u0432\u0435\u0440\u0442\u0438\u043a\u0430\u043b\u0438 \u0432\u044b\u044f\u0432\u043b\u0435\u043d\u043d\u044b\u0435 \u0432 \u043d\u0438\u0445 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0438. <\/p>\n<p>  <img decoding=\"async\" src=\"https:\/\/habrastorage.org\/webt\/qe\/ib\/nx\/qeibnxjk4sohwzatzsvbqug-tkg.png\"\/><\/p>\n<p>  <img decoding=\"async\" src=\"https:\/\/habrastorage.org\/webt\/uc\/v_\/zb\/ucv_zb8xm2x8ixacmqe5hgxu77e.png\"\/><\/p>\n<p>  <img decoding=\"async\" src=\"https:\/\/habrastorage.org\/webt\/dj\/9p\/cy\/dj9pcy2objzcyhadpb9dgxh3wu8.png\"\/><\/p>\n<p>  \u0414\u043b\u044f \u0441\u0440\u0430\u0432\u043d\u0435\u043d\u0438\u044f, \u0430\u043d\u0430\u043b\u043e\u0433\u0438\u0447\u043d\u043e\u0435 \u0438\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u043d\u0438\u0435 \u0431\u044b\u043b\u043e \u043f\u0440\u043e\u0432\u0435\u0434\u0435\u043d\u043e \u043a\u043e\u043c\u0430\u043d\u0434\u043e\u0439 Sonatype \u043f\u043e \u0442\u0435\u0441\u0442\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u044e \u043f\u0440\u043e\u0435\u043a\u0442\u0430 \u0438\u0437 1531 \u043a\u043e\u043c\u043f\u043e\u043d\u0435\u043d\u0442\u044b \u0441 \u043f\u043e\u043c\u043e\u0449\u044c\u044e OWASP Dependency Check. \u041a\u0430\u043a \u043c\u044b \u043c\u043e\u0436\u0435\u043c \u0443\u0432\u0438\u0434\u0435\u0442\u044c, \u0441\u043e\u043e\u0442\u043d\u043e\u0448\u0435\u043d\u0438\u0435 \u0448\u0443\u043c\u0430 \u043a \u043a\u043e\u0440\u0440\u0435\u043a\u0442\u043d\u044b\u043c \u0441\u0440\u0430\u0431\u0430\u0442\u044b\u0432\u0430\u043d\u0438\u044f\u043c \u0441\u043e\u0435\u0437\u043c\u0438\u0440\u0438\u043c\u043e \u0441 \u043d\u0430\u0448\u0438\u043c\u0438 \u0440\u0435\u0437\u0443\u043b\u044c\u0442\u0430\u0442\u0430\u043c\u0438.<\/p>\n<p>  <img decoding=\"async\" src=\"https:\/\/habrastorage.org\/webt\/wg\/i0\/pw\/wgi0pw01iuqmmtaclisl_i_cqgg.png\"\/><br \/>  <i>\u0418\u0441\u0442\u043e\u0447\u043d\u0438\u043a: <a href=\"https:\/\/www.sonatype.com\/why-precision-matters-ebook\">www.sonatype.com\/why-precision-matters-ebook<\/a><\/i><\/p>\n<p>  \u0420\u0430\u0441\u0441\u043c\u043e\u0442\u0440\u0438\u043c \u043d\u0435\u043a\u043e\u0442\u043e\u0440\u044b\u0435 CVE \u0438\u0437 \u0440\u0435\u0437\u0443\u043b\u044c\u0442\u0430\u0442\u043e\u0432 \u043d\u0430\u0448\u0435\u0433\u043e \u0441\u043a\u0430\u043d\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u044f, \u0447\u0442\u043e\u0431\u044b \u043f\u043e\u043d\u044f\u0442\u044c \u043f\u0440\u0438\u0447\u0438\u043d\u0443 \u0442\u0430\u043a\u0438\u0445 \u0440\u0435\u0437\u0443\u043b\u044c\u0442\u0430\u0442\u043e\u0432.<\/p>\n<h3>\u041f\u043e\u0434\u0440\u043e\u0431\u043d\u0435\u0435<\/h3>\n<p>  <\/p>\n<h4>\u21161<\/h4>\n<p>  \u0420\u0430\u0437\u0431\u0435\u0440\u0435\u043c \u0441\u043d\u0430\u0447\u0430\u043b\u0430 \u043d\u0435\u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u0438\u043d\u0442\u0435\u0440\u0435\u0441\u043d\u044b\u0435 \u043c\u043e\u043c\u0435\u043d\u0442\u044b Sonatype Nexus IQ.<\/p>\n<p>  Nexus IQ \u0443\u043a\u0430\u0437\u044b\u0432\u0430\u0435\u0442 \u043d\u0430 \u043f\u0440\u043e\u0431\u043b\u0435\u043c\u0443 \u0441 \u0434\u0435\u0441\u0435\u0440\u0435\u0430\u043b\u0438\u0437\u0430\u0446\u0438\u0435\u0439 \u0441 \u0432\u043e\u0437\u043c\u043e\u0436\u043d\u043e\u0441\u0442\u044c\u044e \u0432\u044b\u043f\u043e\u043b\u043d\u0438\u0442\u044c RCE \u0432 Spring Framework \u043d\u0435\u0441\u043a\u043e\u043b\u044c\u043a\u043e \u0440\u0430\u0437. CVE-2016-1000027 \u0432 spring-web:3.0.5 \u0432 \u043f\u0435\u0440\u0432\u044b\u0439 \u0440\u0430\u0437, \u0438 CVE-2011-2894 \u0432 spring-context:3.0.5 \u0438 spring-core:3.0.5. \u041f\u043e\u043d\u0430\u0447\u0430\u043b\u0443 \u043a\u0430\u0436\u0435\u0442\u0441\u044f, \u0447\u0442\u043e \u043f\u0440\u043e\u0438\u0441\u0445\u043e\u0434\u0438\u0442 \u0434\u0443\u0431\u043b\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u0435 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0438 \u043f\u043e \u043d\u0435\u0441\u043a\u043e\u043b\u044c\u043a\u0438\u043c CVE. \u0418\u0431\u043e, \u0435\u0441\u043b\u0438 \u043f\u043e\u0441\u043c\u043e\u0442\u0440\u0435\u0442\u044c CVE-2016-1000027 \u0438 CVE-2011-2894 \u0432 \u0431\u0430\u0437\u0435 NVD, \u0442\u043e \u043a\u0430\u0436\u0435\u0442\u0441\u044f, \u0447\u0442\u043e \u0432\u0441\u0435 \u043e\u0447\u0435\u0432\u0438\u0434\u043d\u043e<\/p>\n<div class=\"scrollable-table\">\n<table>\n<tr>\n<th>\u041a\u043e\u043c\u043f\u043e\u043d\u0435\u043d\u0442<\/th>\n<th>\u0423\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c<\/th>\n<\/tr>\n<tr>\n<td>spring-web:3.0.5<\/td>\n<td>CVE-2016-1000027<\/td>\n<\/tr>\n<tr>\n<td>spring-context:3.0.5<\/td>\n<td>CVE-2011-2894<\/td>\n<\/tr>\n<tr>\n<td>spring-core:3.0.5<\/td>\n<td>CVE-2011-2894<\/td>\n<\/tr>\n<\/table>\n<\/div>\n<p>  \u041e\u043f\u0438\u0441\u0430\u043d\u0438\u0435 <a href=\"https:\/\/nvd.nist.gov\/vuln\/detail\/CVE-2011-2894\">CVE-2011-2894<\/a> \u0438\u0437 NVD:<br \/>  <img decoding=\"async\" src=\"https:\/\/habrastorage.org\/webt\/st\/9c\/ks\/st9ckstxf2ydc93kzfeoig2ouxy.png\"\/><\/p>\n<p>  \u041e\u043f\u0438\u0441\u0430\u043d\u0438\u0435 <a href=\"https:\/\/nvd.nist.gov\/vuln\/detail\/CVE-2016-1000027\">CVE-2016-1000027<\/a> \u0438\u0437 NVD:<br \/>  <img decoding=\"async\" src=\"https:\/\/habrastorage.org\/webt\/3s\/fl\/u4\/3sflu4s1aahaailqhhibxl9llmy.png\"\/><\/p>\n<p>  CVE-2011-2894 \u0441\u0430\u043c\u0430 \u043f\u043e \u0441\u0435\u0431\u0435 \u0434\u043e\u0432\u043e\u043b\u044c\u043d\u043e \u0438\u0437\u0432\u0435\u0441\u0442\u043d\u0430\u044f. \u0412 \u043e\u0442\u0447\u0435\u0442\u0435 <a href=\"http:\/\/www.pwntester.com\/blog\/2013\/12\/16\/cve-2011-2894-deserialization-spring-rce\/\">White Source \u0437\u0430 2011 \u0433\u043e\u0434<\/a> \u044d\u0442\u0430 CVE \u0431\u044b\u043b\u0430 \u043f\u0440\u0438\u0437\u043d\u0430\u043d\u0430 \u043e\u0434\u043d\u043e\u0439 \u0438\u0437 \u0441\u0430\u043c\u044b\u0445 \u0447\u0430\u0441\u0442\u043e \u0432\u0441\u0442\u0440\u0435\u0447\u0430\u044e\u0449\u0438\u0445\u0441\u044f. \u041e\u043f\u0438\u0441\u0430\u043d\u0438\u044f \u0434\u043b\u044f CVE-2016-100027 \u0432 \u043f\u0440\u0438\u043d\u0446\u0438\u043f\u0435 \u043d\u0435\u043c\u043d\u043e\u0433\u043e \u0432 NVD, \u0434\u0430 \u0438 \u043f\u0440\u0438\u043c\u0435\u043d\u0438\u043c\u0430 \u043e\u043d\u0430, \u0432\u0440\u043e\u0434\u0435 \u0431\u044b, \u0442\u043e\u043b\u044c\u043a\u043e \u0434\u043b\u044f Spring Framework 4.1.4. \u0412\u0437\u0433\u043b\u044f\u043d\u0435\u043c \u043d\u0430 <a href=\"https:\/\/www.tenable.com\/security\/research\/tra-2016-20\">reference<\/a> \u0438 \u0442\u0443\u0442 \u0441\u0442\u0430\u043d\u043e\u0432\u0438\u0442\u0441\u044f \u0432\u0441\u0435 \u0431\u043e\u043b\u0435\u0435 \u0438\u043b\u0438 \u043c\u0435\u043d\u0435\u0435 \u043f\u043e\u043d\u044f\u0442\u043d\u043e. \u0418\u0437 <a href=\"https:\/\/www.tenable.com\/security\/research\/tra-2016-20\">\u0441\u0442\u0430\u0442\u044c\u0438 Tenable<\/a> \u043c\u044b \u043f\u043e\u043d\u0438\u043c\u0430\u0435\u043c, \u0447\u0442\u043e \u043f\u043e\u043c\u0438\u043c\u043e \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0438 \u0432 <code>RemoteInvocationSerializingExporter<\/code> \u0432 CVE-2011-2894, \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c \u043d\u0430\u0431\u043b\u044e\u0434\u0430\u0435\u0442\u0441\u044f \u0432 <code>HttpInvokerServiceExporter<\/code>. \u041e\u0431 \u044d\u0442\u043e\u043c \u043d\u0430\u043c \u0438 \u0433\u043e\u0432\u043e\u0440\u0438\u0442 Nexus IQ:<\/p>\n<p>  <img decoding=\"async\" src=\"https:\/\/habrastorage.org\/webt\/ja\/ds\/gg\/jadsgg02uxxn_-pms3o6hwzw_5q.png\"\/><\/p>\n<p>  \u0422\u0435\u043c \u043d\u0435 \u043c\u0435\u043d\u0435\u0435 \u043d\u0438\u0447\u0435\u0433\u043e \u043f\u043e\u0434\u043e\u0431\u043d\u043e\u0433\u043e \u043d\u0435\u0442 \u0432 NVD, \u0438\u0437-\u0437\u0430 \u0447\u0435\u0433\u043e Dependency Check \u0438 Dependency Track \u043f\u043e\u043b\u0443\u0447\u0430\u044e\u0442 \u043f\u043e false negative.<\/p>\n<p>  \u0422\u0430\u043a\u0436\u0435 \u0438\u0437 \u043e\u043f\u0438\u0441\u0430\u043d\u0438\u044f CVE-2011-2894 \u043c\u043e\u0436\u043d\u043e \u043f\u043e\u043d\u044f\u0442\u044c, \u0447\u0442\u043e \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c \u0434\u0435\u0439\u0441\u0442\u0432\u0438\u0442\u0435\u043b\u044c\u043d\u043e \u043f\u0440\u0438\u0441\u0443\u0442\u0441\u0442\u0432\u0443\u0435\u0442 \u0438 \u0432 spring-context:3.0.5 \u0438 \u0432 spring-core:3.0.5. \u041f\u043e\u0434\u0442\u0432\u0435\u0440\u0436\u0434\u0435\u043d\u0438\u0435 \u044d\u0442\u043e\u043c\u0443 \u043c\u043e\u0436\u043d\u043e \u043d\u0430\u0439\u0442\u0438 \u0432 \u0441\u0442\u0430\u0442\u044c\u0435 \u043e\u0442 \u0442\u043e\u0433\u043e, \u043a\u0442\u043e \u044d\u0442\u0443 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c \u043d\u0430\u0448\u0435\u043b.<\/p>\n<h4>\u21162<\/h4>\n<p>  <\/p>\n<div class=\"scrollable-table\">\n<table>\n<tr>\n<th>\u041a\u043e\u043c\u043f\u043e\u043d\u0435\u043d\u0442<\/th>\n<th>\u0423\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c<\/th>\n<th>\u0420\u0435\u0437\u0443\u043b\u044c\u0442\u0430\u0442<\/th>\n<\/tr>\n<tr>\n<td>struts2-core:2.3.30<\/td>\n<td>CVE-2016-4003<\/td>\n<td>FALSE<\/td>\n<\/tr>\n<\/table>\n<\/div>\n<p>  \u0415\u0441\u043b\u0438 \u043c\u044b \u0438\u0437\u0443\u0447\u0438\u043c \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c CVE-2016-4003, \u0442\u043e \u043f\u043e\u0439\u043c\u0435\u043c, \u0447\u0442\u043e \u0435\u0435 \u0438\u0441\u043f\u0440\u0430\u0432\u0438\u043b\u0438 \u0435\u0449\u0435 \u0432 \u0432\u0435\u0440\u0441\u0438\u0438 2.3.28, \u0442\u0435\u043c \u043d\u0435 \u043c\u0435\u043d\u0435\u0435 Nexus IQ \u043d\u0430\u043c \u043e \u043d\u0435\u0439 \u0441\u043e\u043e\u0431\u0449\u0430\u0435\u0442. \u0412 \u043e\u043f\u0438\u0441\u0430\u043d\u0438\u0438 \u043a \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0438 \u0435\u0441\u0442\u044c \u043f\u0440\u0438\u043c\u0435\u0447\u0430\u043d\u0438\u0435:<\/p>\n<p>  <img decoding=\"async\" src=\"https:\/\/habrastorage.org\/webt\/7t\/r6\/c-\/7tr6c-ax5y7myerndalx12qdg3i.png\"\/><\/p>\n<p>  \u0422\u043e \u0435\u0441\u0442\u044c \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c \u0441\u0443\u0449\u0435\u0441\u0442\u0432\u0443\u0435\u0442 \u0442\u043e\u043b\u044c\u043a\u043e \u0432 \u0441\u0432\u044f\u0437\u043a\u0435 \u0441 \u0443\u0441\u0442\u0430\u0440\u0435\u0432\u0448\u0435\u0439 \u0432\u0435\u0440\u0441\u0438\u0435\u0439 JRE, \u043e \u0447\u0435\u043c \u043d\u0430\u0441 \u0440\u0435\u0448\u0438\u043b\u0438 \u043f\u0440\u0435\u0434\u0443\u043f\u0440\u0435\u0434\u0438\u0442\u044c. \u0422\u0435\u043c \u043d\u0435 \u043c\u0435\u043d\u0435\u0435, \u0441\u0447\u0438\u0442\u0430\u0435\u043c \u044d\u0442\u043e False Positive, \u0445\u043e\u0442\u044c \u0438 \u043d\u0435 \u0441\u0430\u043c\u044b\u043c \u0441\u0442\u0440\u0430\u0448\u043d\u044b\u043c.<\/p>\n<h4>\u2116 3<\/h4>\n<p>  <\/p>\n<div class=\"scrollable-table\">\n<table>\n<tr>\n<th>\u041a\u043e\u043c\u043f\u043e\u043d\u0435\u043d\u0442<\/th>\n<th>\u0423\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c<\/th>\n<th>\u0420\u0435\u0437\u0443\u043b\u044c\u0442\u0430\u0442<\/th>\n<\/tr>\n<tr>\n<td>xwork-core:2.3.30<\/td>\n<td>CVE-2017-9804<\/td>\n<td>TRUE<\/td>\n<\/tr>\n<tr>\n<td>xwork-core:2.3.30<\/td>\n<td>CVE-2017-7672<\/td>\n<td>FALSE<\/td>\n<\/tr>\n<\/table>\n<\/div>\n<p>  \u0415\u0441\u043b\u0438 \u043c\u044b \u043f\u043e\u0441\u043c\u043e\u0442\u0440\u0438\u043c \u043e\u043f\u0438\u0441\u0430\u043d\u0438\u0435 \u043a CVE-2017-9804 \u0438 CVE-2017-7672, \u0442\u043e \u043f\u043e\u0439\u043c\u0435\u043c, \u0447\u0442\u043e \u043f\u0440\u043e\u0431\u043b\u0435\u043c\u0430 \u0432 <code>URLValidator class<\/code>, \u043f\u0440\u0438\u0447\u0435\u043c CVE-2017-9804 \u0432\u044b\u0442\u0435\u043a\u0430\u0435\u0442 \u0438\u0437 CVE-2017-7672. \u041d\u0430\u043b\u0438\u0447\u0438\u0435 \u0432\u0442\u043e\u0440\u043e\u0439 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0438 \u043d\u0435 \u043d\u0435\u0441\u0435\u0442 \u043d\u0438\u043a\u0430\u043a\u043e\u0439 \u043f\u043e\u043b\u0435\u0437\u043d\u043e\u0439 \u043d\u0430\u0433\u0440\u0443\u0437\u043a\u0438 \u043a\u0440\u043e\u043c\u0435 \u0442\u043e\u0433\u043e, \u0447\u0442\u043e \u0435\u0435 severity \u0432\u044b\u0440\u043e\u0441 \u0434\u043e High, \u043f\u043e\u044d\u0442\u043e\u043c\u0443 \u043c\u043e\u0436\u043d\u043e \u0441\u0447\u0438\u0442\u0430\u0442\u044c \u044d\u0442\u043e \u043b\u0438\u0448\u043d\u0438\u043c \u0448\u0443\u043c\u043e\u043c.<\/p>\n<p>  \u0412 \u0446\u0435\u043b\u043e\u043c \u0434\u0440\u0443\u0433\u0438\u0445 false positive \u0434\u043b\u044f Nexus IQ \u043d\u0430\u0439\u0434\u0435\u043d\u043e \u043d\u0435 \u0431\u044b\u043b\u043e.<\/p>\n<h3>\u21164<\/h3>\n<p>  \u0415\u0441\u0442\u044c \u043d\u0435\u0441\u043a\u043e\u043b\u044c\u043a\u043e \u043c\u043e\u043c\u0435\u043d\u0442\u043e\u0432, \u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u0432\u044b\u0434\u0435\u043b\u044f\u044e\u0442 IQ \u043d\u0430 \u0444\u043e\u043d\u0435 \u0434\u0440\u0443\u0433\u0438\u0445 \u0440\u0435\u0448\u0435\u043d\u0438\u0439.  <\/p>\n<div class=\"scrollable-table\">\n<table>\n<tr>\n<th>\u041a\u043e\u043c\u043f\u043e\u043d\u0435\u043d\u0442<\/th>\n<th>\u0423\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c<\/th>\n<th>\u0420\u0435\u0437\u0443\u043b\u044c\u0442\u0430\u0442<\/th>\n<\/tr>\n<tr>\n<td>spring-web:3.0.5<\/td>\n<td>CVE-2020-5398<\/td>\n<td>TRUE<\/td>\n<\/tr>\n<\/table>\n<\/div>\n<p>  CVE \u0432 NVD \u0441\u043e\u043e\u0431\u0449\u0430\u0435\u0442, \u0447\u0442\u043e \u043e\u043d\u0430 \u043f\u0440\u0438\u043c\u0435\u043d\u0438\u043c\u0430 \u0442\u043e\u043b\u044c\u043a\u043e \u0434\u043b\u044f \u0432\u0435\u0440\u0441\u0438\u0439 5.2.x \u0434\u043e 5.2.3, 5.1.x \u0434\u043e 5.1.13, \u0438 \u0432\u0435\u0440\u0441\u0438\u0439 5.0.x \u0434\u043e 5.0.16, \u0442\u0435\u043c \u043d\u0435 \u043c\u0435\u043d\u0435\u0435, \u0435\u0441\u043b\u0438 \u043c\u044b \u043f\u043e\u0441\u043c\u043e\u0442\u0440\u0438\u043c \u043e\u043f\u0438\u0441\u0430\u043d\u0438\u0435 CVE \u0432 Nexus IQ, \u0442\u043e \u0443\u0432\u0438\u0434\u0438\u043c \u0441\u043b\u0435\u0434\u0443\u044e\u0449\u0435\u0435:<br \/>  <i>Advisory Deviation Notice: The Sonatype security research team discovered that this vulnerability was introduced in version 3.0.2.RELEASE and not 5.0.x as stated in the advisory.<\/i><\/p>\n<p>  \u041f\u043e\u0441\u043b\u0435 \u044d\u0442\u043e\u0433\u043e \u0441\u043b\u0435\u0434\u0443\u0435\u0442 PoC \u043a \u044d\u0442\u043e\u0439 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0438, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u0441\u043e\u043e\u0431\u0449\u0430\u0435\u0442, \u0447\u0442\u043e \u043e\u043d\u0430 \u043f\u0440\u0438\u0441\u0443\u0442\u0441\u0442\u0432\u0443\u0435\u0442 \u0432 \u0432\u0435\u0440\u0441\u0438\u0438 3.0.5.<\/p>\n<p>  False negative \u043e\u0442\u043f\u0440\u0430\u0432\u043b\u044f\u0435\u0442\u0441\u044f \u043a Dependency Check \u0438 Dependency Track.<\/p>\n<h3>\u21165<\/h3>\n<p>  \u041f\u043e\u0441\u043c\u043e\u0442\u0440\u0438\u043c \u043d\u0430 false positive \u0434\u043b\u044f Dependency Check \u0438 Dependency Track.<\/p>\n<p>  Dependency Check \u043e\u0442\u0434\u0435\u043b\u044c\u043d\u043e \u0432\u044b\u0434\u0435\u043b\u044f\u0435\u0442\u0441\u044f \u0442\u0435\u043c, \u0447\u0442\u043e \u043e\u0442\u0440\u0430\u0436\u0430\u0435\u0442 \u0442\u0435 CVE, \u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u043e\u0442\u043d\u043e\u0441\u044f\u0442\u0441\u044f \u043a\u043e \u0432\u0441\u0435\u043c\u0443 \u0444\u0440\u0435\u0439\u043c\u0432\u043e\u0440\u043a\u0443 \u0432 NVD, \u0432 \u0442\u0435 \u043a\u043e\u043c\u043f\u043e\u043d\u0435\u043d\u0442\u044b, \u043a \u043a\u043e\u0442\u043e\u0440\u044b\u043c \u044d\u0442\u0438 CVE \u043d\u0435 \u043f\u0440\u0438\u043c\u0435\u043d\u0438\u043c\u044b. \u042d\u0442\u043e \u043a\u0430\u0441\u0430\u0435\u0442\u0441\u044f CVE-2012-0394, CVE-2013-2115, CVE-2014-0114, CVE-2015-0899, CVE-2015-2992, CVE-2016-1181, CVE-2016-1182, \u043a\u043e\u0442\u043e\u0440\u044b\u0435 Dependency Check \u201c\u043f\u0440\u0438\u043a\u0440\u0443\u0442\u0438\u043b\u201d \u043a struts-taglib:1.3.8 \u0438 struts-tiles-1.3.8. \u042d\u0442\u0438 \u043a\u043e\u043c\u043f\u043e\u043d\u0435\u043d\u0442\u044b \u043d\u0435 \u0438\u043c\u0435\u044e\u0442 \u043d\u0438\u0447\u0435\u0433\u043e \u043e\u0431\u0449\u0435\u0433\u043e \u0441 \u0442\u0435\u043c, \u0447\u0442\u043e \u043e\u043f\u0438\u0441\u0430\u043d\u043e \u0432 CVE \u2014 \u043e\u0431\u0440\u0430\u0431\u043e\u0442\u043a\u0430 \u0437\u0430\u043f\u0440\u043e\u0441\u043e\u0432, \u0432\u0430\u043b\u0438\u0434\u0430\u0446\u0438\u044f \u0441\u0442\u0440\u0430\u043d\u0438\u0446 \u0438 \u0442\u0430\u043a \u0434\u0430\u043b\u0435\u0435. \u042d\u0442\u043e \u043e\u0431\u0443\u0441\u043b\u043e\u0432\u043b\u0435\u043d\u043e \u0442\u0435\u043c, \u0447\u0442\u043e \u043e\u0431\u0449\u0435\u0435 \u043c\u0435\u0436\u0434\u0443 \u044d\u0442\u0438\u043c\u0438 CVE \u0438 \u043a\u043e\u043c\u043f\u043e\u043d\u0435\u043d\u0442\u0430\u043c\u0438 \u2014 \u0442\u043e\u043b\u044c\u043a\u043e \u0444\u0440\u0435\u0439\u043c\u0432\u043e\u0440\u043a, \u0438\u0437-\u0437\u0430 \u0447\u0435\u0433\u043e Dependency Check \u0438 \u043f\u043e\u0441\u0447\u0438\u0442\u0430\u043b \u044d\u0442\u043e \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c\u044e.<\/p>\n<p>  \u0422\u0430\u043a\u0430\u044f \u0436\u0435 \u0441\u0438\u0442\u0443\u0430\u0446\u0438\u044f \u0441 spring-tx:3.0.5, \u0438 \u043f\u043e\u0445\u043e\u0436\u0430\u044f \u0441\u0438\u0442\u0443\u0430\u0446\u0438\u044f \u0441 struts-core:1.3.8. \u0414\u043b\u044f struts-core Dependency Check \u0438 Dependency Track \u043d\u0430\u0448\u043b\u0438 \u043e\u0447\u0435\u043d\u044c \u043c\u043d\u043e\u0433\u043e \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0435\u0439, \u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u043d\u0430 \u0441\u0430\u043c\u043e\u043c \u0434\u0435\u043b\u0435 \u043f\u0440\u0438\u043c\u0435\u043d\u0438\u043c\u044b \u043a struts2-core, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u043f\u043e \u0441\u0443\u0442\u0438 \u044f\u0432\u043b\u044f\u0435\u0442\u0441\u044f \u043e\u0442\u0434\u0435\u043b\u044c\u043d\u044b\u043c \u0444\u0440\u0435\u0439\u043c\u0432\u043e\u0440\u043a\u043e\u043c. \u0412 \u0434\u0430\u043d\u043d\u043e\u043c \u0441\u043b\u0443\u0447\u0430\u0435 Nexus IQ \u043f\u0440\u0430\u0432\u0438\u043b\u044c\u043d\u043e \u043f\u043e\u043d\u044f\u043b \u043a\u0430\u0440\u0442\u0438\u043d\u0443 \u0438 \u0432 \u0442\u0435\u0445 CVE, \u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u0432\u044b\u0434\u0430\u043b, \u0443\u043a\u0430\u0437\u0430\u043b, \u0447\u0442\u043e struts-core \u043f\u0440\u0438\u0448\u0435\u043b end of life \u0438 \u043d\u0435\u043e\u0431\u0445\u043e\u0434\u0438\u043c\u043e \u043f\u0435\u0440\u0435\u0439\u0442\u0438 \u043a struts2-core.<\/p>\n<h3>\u21166<\/h3>\n<p>  \u0412 \u043d\u0435\u043a\u043e\u0442\u043e\u0440\u044b\u0445 \u0441\u0438\u0442\u0443\u0430\u0446\u0438\u044f\u0445 \u0442\u0440\u0430\u043a\u0442\u043e\u0432\u0430\u0442\u044c \u044f\u0432\u043d\u0443\u044e \u043e\u0448\u0438\u0431\u043a\u0443 Dependency Check \u0438 Dependency Track \u043d\u0435\u0441\u043f\u0440\u0430\u0432\u0435\u0434\u043b\u0438\u0432\u043e. \u0412 \u0447\u0430\u0441\u0442\u043d\u043e\u0441\u0442\u0438 CVE-2013-4152, CVE-2013-6429, CVE-2013-6430, CVE-2013-7315, CVE-2014-0054, CVE-2014-0225, CVE-2014-0225, \u043a\u043e\u0442\u043e\u0440\u044b\u0435 Dependency Check \u0438 Dependency Track \u043e\u0442\u043d\u0435\u0441\u043b\u0438 \u043a spring-core:3.0.5 \u043d\u0430 \u0441\u0430\u043c\u043e\u043c \u0434\u0435\u043b\u0435 \u043e\u0442\u043d\u043e\u0441\u044f\u0442\u0441\u044f \u043a spring-web:3.0.5. \u041f\u0440\u0438 \u044d\u0442\u043e\u043c \u0447\u0430\u0441\u0442\u044c \u0438\u0437 \u044d\u0442\u0438\u0445 CVE \u0431\u044b\u043b\u0438 \u043d\u0430\u0439\u0434\u0435\u043d\u044b \u0438 Nexus IQ, \u0442\u0435\u043c \u043d\u0435 \u043c\u0435\u043d\u0435\u0435 IQ \u0438\u0445 \u043a\u043e\u0440\u0440\u0435\u043a\u0442\u043d\u043e \u043e\u043f\u0440\u0435\u0434\u0435\u043b\u0438\u043b \u043a \u0434\u0440\u0443\u0433\u043e\u0439 \u043a\u043e\u043c\u043f\u043e\u043d\u0435\u043d\u0442\u0435. \u041e\u0442 \u0442\u043e\u0433\u043e, \u0447\u0442\u043e \u044d\u0442\u0438 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0438 \u043d\u0435 \u0431\u044b\u043b\u0438 \u043d\u0430\u0439\u0434\u0435\u043d\u044b \u0432 spring-core, \u043d\u0435\u043b\u044c\u0437\u044f \u0443\u0442\u0432\u0435\u0440\u0436\u0434\u0430\u0442\u044c, \u0447\u0442\u043e \u0438\u0445 \u043d\u0435\u0442 \u0432\u043e \u0444\u0440\u0435\u0439\u043c\u0432\u043e\u0440\u043a\u0435 \u0432 \u043f\u0440\u0438\u043d\u0446\u0438\u043f\u0435 \u0438 open source \u0438\u043d\u0441\u0442\u0440\u0443\u043c\u0435\u043d\u0442\u044b \u0441\u043f\u0440\u0430\u0432\u0435\u0434\u043b\u0438\u0432\u043e \u0443\u043a\u0430\u0437\u0430\u043b\u0438 \u043d\u0430 \u044d\u0442\u0438 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0438 (\u043f\u0440\u043e\u0441\u0442\u043e \u043d\u0435\u043c\u043d\u043e\u0433\u043e \u043f\u0440\u043e\u043c\u0430\u0445\u043d\u0443\u043b\u0438\u0441\u044c). <\/p>\n<h3>\u0412\u044b\u0432\u043e\u0434\u044b<\/h3>\n<p>  \u041a\u0430\u043a \u043c\u044b \u043c\u043e\u0436\u0435\u043c \u0432\u0438\u0434\u0435\u0442\u044c, \u043e\u043f\u0440\u0435\u0434\u0435\u043b\u0435\u043d\u0438\u0435 \u0434\u043e\u0441\u0442\u043e\u0432\u0435\u0440\u043d\u043e\u0441\u0442\u0438 \u0432\u044b\u044f\u0432\u043b\u0435\u043d\u043d\u044b\u0445 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0435\u0439 \u0440\u0443\u0447\u043d\u044b\u043c \u0440\u0435\u0432\u044c\u044e \u043d\u0435 \u0434\u0430\u0435\u0442 \u043e\u0434\u043d\u043e\u0437\u043d\u0430\u0447\u043d\u044b\u0445 \u0440\u0435\u0437\u0443\u043b\u044c\u0442\u0430\u0442\u043e\u0432, \u0438\u0437-\u0437\u0430 \u0447\u0435\u0433\u043e \u0432\u043e\u0437\u043d\u0438\u043a\u0430\u044e\u0442 \u0441\u043f\u043e\u0440\u043d\u044b\u0435 \u043c\u043e\u043c\u0435\u043d\u0442\u044b. \u0420\u0435\u0437\u0443\u043b\u044c\u0442\u0430\u0442\u044b \u0442\u0430\u043a\u043e\u0432\u044b, \u0447\u0442\u043e \u0440\u0435\u0448\u0435\u043d\u0438\u0435 Nexus IQ \u043e\u0431\u043b\u0430\u0434\u0430\u0435\u0442 \u043d\u0430\u0438\u043c\u0435\u043d\u044c\u0448\u0438\u043c \u043f\u043e\u043a\u0430\u0437\u0430\u0442\u0435\u043b\u0435\u043c \u043b\u043e\u0436\u043d\u044b\u0445 \u0441\u0440\u0430\u0431\u0430\u0442\u044b\u0432\u0430\u043d\u0438\u0439 \u0438 \u043d\u0430\u0438\u0431\u043e\u043b\u044c\u0448\u0435\u0439 \u0442\u043e\u0447\u043d\u043e\u0441\u0442\u044c\u044e. <\/p>\n<p>  \u0412 \u043f\u0435\u0440\u0432\u0443\u044e \u043e\u0447\u0435\u0440\u0435\u0434\u044c, \u044d\u0442\u043e \u0441\u0432\u044f\u0437\u0430\u043d\u043e \u0441 \u0442\u0435\u043c, \u0447\u0442\u043e \u043a\u043e\u043c\u0430\u043d\u0434\u0430 Sonatype \u0440\u0430\u0441\u0448\u0438\u0440\u0438\u043b\u043e \u043e\u043f\u0438\u0441\u0430\u043d\u0438\u0435 \u0434\u043b\u044f \u043a\u0430\u0436\u0434\u043e\u0439 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0438 CVE \u0438\u0437 NVD \u0432 \u0441\u0432\u043e\u0438\u0445 \u0431\u0430\u0437\u0430\u0445, \u0443\u043a\u0430\u0437\u0430\u0432 \u0441 \u0442\u043e\u0447\u043d\u043e\u0441\u0442\u044c\u044e \u0434\u043e \u043a\u043b\u0430\u0441\u0441\u0430 \u0438\u043b\u0438 \u0444\u0443\u043d\u043a\u0446\u0438\u0438 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0438 \u0434\u043b\u044f \u0442\u043e\u0439 \u0438\u043b\u0438 \u0438\u043d\u043e\u0439 \u0432\u0435\u0440\u0441\u0438\u0438 \u043a\u043e\u043c\u043f\u043e\u043d\u0435\u043d\u0442\u044b, \u043f\u0440\u043e\u0432\u0435\u0434\u044f \u0434\u043e\u043f\u043e\u043b\u043d\u0438\u0442\u0435\u043b\u044c\u043d\u044b\u0435 \u0438\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u043d\u0438\u044f (\u043d\u0430\u043f\u0440\u0438\u043c\u0435\u0440, \u043f\u0440\u043e\u0432\u0435\u0440\u0438\u0432 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0438 \u043d\u0430 \u0431\u043e\u043b\u0435\u0435 \u0441\u0442\u0430\u0440\u044b\u0445 \u0432\u0435\u0440\u0441\u0438\u0439 \u041f\u041e). <\/p>\n<p>  \u041d\u0435\u043c\u0430\u043b\u043e\u0432\u0430\u0436\u043d\u043e\u0435 \u0432\u043b\u0438\u044f\u043d\u0438\u0435 \u043d\u0430 \u0440\u0435\u0437\u0443\u043b\u044c\u0442\u0430\u0442\u044b \u0438\u0433\u0440\u0430\u044e\u0442 \u0438 \u0442\u0435 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0438, \u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u043d\u0435 \u043f\u043e\u043f\u0430\u043b\u0438 \u0432 NVD, \u043d\u043e \u0442\u0435\u043c \u043d\u0435 \u043c\u0435\u043d\u0435\u0435 \u043f\u0440\u0438\u0441\u0443\u0442\u0441\u0442\u0432\u0443\u044e\u0442 \u0432 \u0431\u0430\u0437\u0435 Sonatype \u0441 \u043f\u043e\u043c\u0435\u0442\u043a\u043e\u0439 SONATYPE. \u0421\u043e\u0433\u043b\u0430\u0441\u043d\u043e \u043e\u0442\u0447\u0435\u0442\u0443 <a href=\"https:\/\/www.whitesourcesoftware.com\/open-source-vulnerability-management-report\/\">The State of Open Source Security Vulnerabilities 2020<\/a> \u043e 45% \u043e\u0431\u043d\u0430\u0440\u0443\u0436\u0435\u043d\u043d\u044b\u0445 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0435\u0439 \u0441 \u043e\u0442\u043a\u0440\u044b\u0442\u044b\u043c \u0438\u0441\u0445\u043e\u0434\u043d\u044b\u043c \u043a\u043e\u0434\u043e\u043c \u043d\u0435 \u0441\u043e\u043e\u0431\u0449\u0430\u0435\u0442\u0441\u044f \u0432 NVD. \u0421\u043e\u0433\u043b\u0430\u0441\u043d\u043e \u0431\u0430\u0437\u0435 \u0434\u0430\u043d\u043d\u044b\u0445 WhiteSource, \u0442\u043e\u043b\u044c\u043a\u043e 29% \u0432\u0441\u0435\u0445 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0435\u0439 \u0441 \u043e\u0442\u043a\u0440\u044b\u0442\u044b\u043c \u0438\u0441\u0445\u043e\u0434\u043d\u044b\u043c \u043a\u043e\u0434\u043e\u043c, \u0437\u0430\u0440\u0435\u0433\u0438\u0441\u0442\u0440\u0438\u0440\u043e\u0432\u0430\u043d\u043d\u044b\u0445 \u0437\u0430 \u043f\u0440\u0435\u0434\u0435\u043b\u0430\u043c\u0438 NVD, \u0432 \u043a\u043e\u043d\u0435\u0447\u043d\u043e\u043c \u0438\u0442\u043e\u0433\u0435 \u043f\u0443\u0431\u043b\u0438\u043a\u0443\u044e\u0442\u0441\u044f \u0432 \u043d\u0435\u0439, \u043f\u043e\u044d\u0442\u043e\u043c\u0443 \u0442\u0430\u043a \u0432\u0430\u0436\u043d\u043e \u0438\u0441\u043a\u0430\u0442\u044c \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0438 \u0442\u0430\u043a\u0436\u0435 \u0432 \u0434\u0440\u0443\u0433\u0438\u0445 \u0438\u0441\u0442\u043e\u0447\u043d\u0438\u043a\u0430\u0445.<\/p>\n<p>  \u041a\u0430\u043a \u0438\u0442\u043e\u0433 Dependency Check \u0432\u044b\u0434\u0430\u0435\u0442 \u0431\u043e\u043b\u044c\u0448\u043e\u0435 \u043a\u043e\u043b\u0438\u0447\u0435\u0441\u0442\u0432\u043e \u0448\u0443\u043c\u0430, \u0443\u043f\u0443\u0441\u043a\u0430\u044f \u0447\u0430\u0441\u0442\u044c \u0443\u044f\u0437\u0432\u0438\u043c\u044b\u0445 \u043a\u043e\u043c\u043f\u043e\u043d\u0435\u043d\u0442. Dependency Track \u0432\u044b\u0434\u0430\u0435\u0442 \u043c\u0435\u043d\u044c\u0448\u0438\u0439 \u0448\u0443\u043c \u0438 \u0432\u044b\u044f\u0432\u043b\u044f\u0435\u0442 \u0431\u043e\u043b\u044c\u0448\u043e\u0435 \u0447\u0438\u0441\u043b\u043e \u043a\u043e\u043c\u043f\u043e\u043d\u0435\u043d\u0442, \u0447\u0442\u043e \u0432\u0438\u0437\u0443\u0430\u043b\u044c\u043d\u043e \u043d\u0435 \u0440\u0435\u0436\u0435\u0442 \u0433\u043b\u0430\u0437\u0430 \u0432 \u0432\u0435\u0431-\u0438\u043d\u0442\u0435\u0440\u0444\u0435\u0439\u0441\u0435.<\/p>\n<p>  \u0422\u0435\u043c \u043d\u0435 \u043c\u0435\u043d\u0435\u0435, \u043f\u0440\u0430\u043a\u0442\u0438\u043a\u0430 \u043f\u043e\u043a\u0430\u0437\u044b\u0432\u0430\u0435\u0442, \u0447\u0442\u043e \u0438\u043c\u0435\u043d\u043d\u043e open source \u0434\u043e\u043b\u0436\u0435\u043d \u0441\u0442\u0430\u043d\u043e\u0432\u0438\u0442\u0441\u044f \u043f\u0435\u0440\u0432\u044b\u043c \u0448\u0430\u0433\u043e\u0432 \u043d\u0430 \u043f\u0443\u0442\u0438 \u043a \u0437\u0440\u0435\u043b\u043e\u043c\u0443 DevSecOps. \u041f\u0435\u0440\u0432\u043e\u0435, \u043d\u0430\u0434 \u0447\u0435\u043c \u0441\u0442\u043e\u0438\u0442 \u0437\u0430\u0434\u0443\u043c\u0430\u0442\u044c\u0441\u044f \u0434\u043b\u044f \u0432\u0441\u0442\u0440\u0430\u0438\u0432\u0430\u043d\u0438\u044f SCA \u0432 \u0440\u0430\u0437\u0440\u0430\u0431\u043e\u0442\u043a\u0443, \u2014 \u044d\u0442\u043e \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u044b, \u0430 \u0438\u043c\u0435\u043d\u043d\u043e \u0440\u0430\u0437\u043c\u044b\u0448\u043b\u0435\u043d\u0438\u044f \u0441\u043e\u0432\u043c\u0435\u0441\u0442\u043d\u043e \u0441 \u0440\u0443\u043a\u043e\u0432\u043e\u0434\u0441\u0442\u0432\u043e\u043c \u0438 \u0441\u043c\u0435\u0436\u043d\u044b\u043c\u0438 \u0434\u0435\u043f\u0430\u0440\u0442\u0430\u043c\u0435\u043d\u0442\u0430\u043c\u0438 \u043d\u0430\u0434 \u0442\u0435\u043c, \u043a\u0430\u043a \u0434\u043e\u043b\u0436\u043d\u044b \u0432\u044b\u0433\u043b\u044f\u0434\u0435\u0442\u044c \u0438\u0434\u0435\u0430\u043b\u044c\u043d\u044b\u0435 \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u044b \u0443 \u0441\u0435\u0431\u044f \u0432 \u043e\u0440\u0433\u0430\u043d\u0438\u0437\u0430\u0446\u0438\u0438. \u0412\u043e\u0437\u043c\u043e\u0436\u043d\u043e, \u043e\u043a\u0430\u0436\u0435\u0442\u0441\u044f \u0442\u0430\u043a, \u0447\u0442\u043e \u0434\u043b\u044f \u0432\u0430\u0448\u0435\u0439 \u043e\u0440\u0433\u0430\u043d\u0438\u0437\u0430\u0446\u0438\u0438 \u043d\u0430 \u043f\u0435\u0440\u0432\u044b\u0445 \u043f\u043e\u0440\u0430\u0445 Dependency Check \u0438\u043b\u0438 Dependency Track \u0437\u0430\u043a\u0440\u043e\u044e\u0442 \u0432\u0441\u0435 \u0441\u0442\u043e\u044f\u0449\u0438\u0435 \u043f\u0435\u0440\u0435\u0434 \u0431\u0438\u0437\u043d\u0435\u0441\u043e\u043c \u043f\u043e\u0442\u0440\u0435\u0431\u043d\u043e\u0441\u0442\u0438, \u0430 Enterprise-\u0440\u0435\u0448\u0435\u043d\u0438\u044f \u0431\u0443\u0434\u0443\u0442 \u044f\u0432\u043b\u044f\u0442\u044c\u0441\u044f \u043b\u043e\u0433\u0438\u0447\u0435\u0441\u043a\u0438\u043c \u043f\u0440\u043e\u0434\u043e\u043b\u0436\u0435\u043d\u0438\u0435\u043c \u0432 \u0441\u0438\u043b\u0443 \u0440\u043e\u0441\u0442\u0430 \u0441\u043b\u043e\u0436\u043d\u043e\u0441\u0442\u0438 \u0440\u0430\u0437\u0440\u0430\u0431\u0430\u0442\u044b\u0432\u0430\u0435\u043c\u044b\u0445 \u043f\u0440\u0438\u043b\u043e\u0436\u0435\u043d\u0438\u0439.<\/p>\n<div class=\"spoiler\" role=\"button\" tabindex=\"0\">                         <b class=\"spoiler_title\">\u041f\u0440\u0438\u043b\u043e\u0436\u0435\u043d\u0438\u0435 \u0410. \u0420\u0435\u0437\u0443\u043b\u044c\u0442\u0430\u0442\u044b \u043f\u0440\u0438\u043c\u0435\u043d\u0438\u0442\u0435\u043b\u044c\u043d\u043e \u043a \u043a\u043e\u043c\u043f\u043e\u043d\u0435\u043d\u0442\u0430\u043c<\/b>                         <\/p>\n<div class=\"spoiler_text\"><b>\u0423\u0441\u043b\u043e\u0432\u043d\u044b\u0435 \u043e\u0431\u043e\u0437\u043d\u0430\u0447\u0435\u043d\u0438\u044f:<\/b><\/p>\n<ul>\n<li>High \u2014 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0438 \u0432\u044b\u0441\u043e\u043a\u043e\u0433\u043e \u0438 \u043a\u0440\u0438\u0442\u0438\u0447\u043d\u043e\u0433\u043e \u0443\u0440\u043e\u0432\u043d\u044f \u0432 \u043a\u043e\u043c\u043f\u043e\u043d\u0435\u043d\u0442\u0435<\/li>\n<li>Medium \u2014 \u0423\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0438 \u0441\u0440\u0435\u0434\u043d\u0435\u0433\u043e \u0443\u0440\u043e\u0432\u043d\u044f \u043a\u0440\u0438\u0442\u0438\u0447\u043d\u043e\u0441\u0442\u0438 \u0432 \u043a\u043e\u043c\u043f\u043e\u043d\u0435\u043d\u0442\u0435<\/li>\n<li>TRUE \u2014 \u0412\u0435\u0440\u043d\u043e \u043e\u043f\u0440\u0435\u0434\u0435\u043b\u0435\u043d\u043d\u0430\u044f \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c (True positive issue)<\/li>\n<li>FALSE \u2014 \u041b\u043e\u0436\u043d\u043e\u0435 \u0441\u0440\u0430\u0431\u0430\u0442\u044b\u0432\u0430\u043d\u0438\u0435 (False positive issue)<\/li>\n<\/ul>\n<p>  <\/p>\n<div class=\"scrollable-table\">\n<table>\n<tr>\n<th>\u041a\u043e\u043c\u043f\u043e\u043d\u0435\u043d\u0442<\/th>\n<th>Nexus IQ<\/th>\n<th>Dependency Check<\/th>\n<th>Dependency Track<\/th>\n<th>\u0420\u0435\u0437\u0443\u043b\u044c\u0442\u0430\u0442<\/th>\n<\/tr>\n<tr>\n<td>dom4j: 1.6.1<\/td>\n<td>High<\/td>\n<td>High<\/td>\n<td>High<\/td>\n<td>TRUE<\/td>\n<\/tr>\n<tr>\n<td>log4j-core: 2.3<\/td>\n<td>High<\/td>\n<td>High<\/td>\n<td>High<\/td>\n<td>TRUE<\/td>\n<\/tr>\n<tr>\n<td>log4j: 1.2.14<\/td>\n<td>High<\/td>\n<td>High<\/td>\n<td>&#8212;<\/td>\n<td>TRUE<\/td>\n<\/tr>\n<tr>\n<td>commons-collections:3.1<\/td>\n<td>High<\/td>\n<td>High<\/td>\n<td>High<\/td>\n<td>TRUE<\/td>\n<\/tr>\n<tr>\n<td>commons-fileupload:1.3.2<\/td>\n<td>High<\/td>\n<td>High<\/td>\n<td>High<\/td>\n<td>TRUE<\/td>\n<\/tr>\n<tr>\n<td>commons-beanutils:1.7.0<\/td>\n<td>High<\/td>\n<td>High<\/td>\n<td>High<\/td>\n<td>TRUE<\/td>\n<\/tr>\n<tr>\n<td>commons-codec:1:10<\/td>\n<td>Medium<\/td>\n<td>&#8212;<\/td>\n<td>&#8212;<\/td>\n<td>TRUE<\/td>\n<\/tr>\n<tr>\n<td>mysql-connector-java:5.1.42<\/td>\n<td>High<\/td>\n<td>High<\/td>\n<td>High<\/td>\n<td>TRUE<\/td>\n<\/tr>\n<tr>\n<td>spring-expression:3.0.5<\/td>\n<td>High<\/td>\n<td>\u043a\u043e\u043c\u043f\u043e\u043d\u0435\u043d\u0442 \u043d\u0435 \u043d\u0430\u0439\u0434\u0435\u043d  <\/td>\n<td><\/td>\n<td>TRUE<\/td>\n<\/tr>\n<tr>\n<td>spring-web:3.0.5<\/td>\n<td>High<\/td>\n<td>\u043a\u043e\u043c\u043f\u043e\u043d\u0435\u043d\u0442 \u043d\u0435 \u043d\u0430\u0439\u0434\u0435\u043d<\/td>\n<td>High<\/td>\n<td>TRUE<\/td>\n<\/tr>\n<tr>\n<td>spring-context:3.0.5<\/td>\n<td>Medium<\/td>\n<td>\u043a\u043e\u043c\u043f\u043e\u043d\u0435\u043d\u0442 \u043d\u0435 \u043d\u0430\u0439\u0434\u0435\u043d<\/td>\n<td>&#8212;<\/td>\n<td>TRUE<\/td>\n<\/tr>\n<tr>\n<td>spring-core:3.0.5<\/td>\n<td>Medium<\/td>\n<td>High<\/td>\n<td>High<\/td>\n<td>TRUE<\/td>\n<\/tr>\n<tr>\n<td>struts2-config-browser-plugin:2.3.30<\/td>\n<td>Medium<\/td>\n<td>&#8212;<\/td>\n<td>&#8212;<\/td>\n<td>TRUE<\/td>\n<\/tr>\n<tr>\n<td>spring-tx:3.0.5<\/td>\n<td>&#8212;<\/td>\n<td>High<\/td>\n<td>&#8212;<\/td>\n<td>FALSE<\/td>\n<\/tr>\n<tr>\n<td>struts-core:1.3.8<\/td>\n<td>High<\/td>\n<td>High<\/td>\n<td>High<\/td>\n<td>TRUE<\/td>\n<\/tr>\n<tr>\n<td>xwork-core: 2.3.30<\/td>\n<td>High<\/td>\n<td>&#8212;<\/td>\n<td>&#8212;<\/td>\n<td>TRUE<\/td>\n<\/tr>\n<tr>\n<td>struts2-core: 2.3.30<\/td>\n<td>High<\/td>\n<td>High<\/td>\n<td>High<\/td>\n<td>TRUE<\/td>\n<\/tr>\n<tr>\n<td>struts-taglib:1.3.8<\/td>\n<td>&#8212;<\/td>\n<td>High<\/td>\n<td>&#8212;<\/td>\n<td>FALSE<\/td>\n<\/tr>\n<tr>\n<td>struts-tiles-1.3.8<\/td>\n<td>&#8212;<\/td>\n<td>High<\/td>\n<td>&#8212;<\/td>\n<td>FALSE<\/td>\n<\/tr>\n<\/table>\n<\/div><\/div>\n<\/p><\/div>\n<p>  <\/p>\n<div class=\"spoiler\" role=\"button\" tabindex=\"0\">                         <b class=\"spoiler_title\">\u041f\u0440\u0438\u043b\u043e\u0436\u0435\u043d\u0438\u0435 \u0411. \u0420\u0435\u0437\u0443\u043b\u044c\u0442\u0430\u0442\u044b \u043f\u0440\u0438\u043c\u0435\u043d\u0438\u0442\u0435\u043b\u044c\u043d\u043e \u043a \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044f\u043c<\/b>                         <\/p>\n<div class=\"spoiler_text\"><b>\u0423\u0441\u043b\u043e\u0432\u043d\u044b\u0435 \u043e\u0431\u043e\u0437\u043d\u0430\u0447\u0435\u043d\u0438\u044f:<\/b><\/p>\n<ul>\n<li>High \u2014 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0438 \u0432\u044b\u0441\u043e\u043a\u043e\u0433\u043e \u0438 \u043a\u0440\u0438\u0442\u0438\u0447\u043d\u043e\u0433\u043e \u0443\u0440\u043e\u0432\u043d\u044f \u0432 \u043a\u043e\u043c\u043f\u043e\u043d\u0435\u043d\u0442\u0435<\/li>\n<li>Medium \u2014 \u0423\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0438 \u0441\u0440\u0435\u0434\u043d\u0435\u0433\u043e \u0443\u0440\u043e\u0432\u043d\u044f \u043a\u0440\u0438\u0442\u0438\u0447\u043d\u043e\u0441\u0442\u0438 \u0432 \u043a\u043e\u043c\u043f\u043e\u043d\u0435\u043d\u0442\u0435<\/li>\n<li>TRUE \u2014 \u0412\u0435\u0440\u043d\u043e \u043e\u043f\u0440\u0435\u0434\u0435\u043b\u0435\u043d\u043d\u0430\u044f \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c (True positive issue)<\/li>\n<li>FALSE \u2014 \u041b\u043e\u0436\u043d\u043e\u0435 \u0441\u0440\u0430\u0431\u0430\u0442\u044b\u0432\u0430\u043d\u0438\u0435 (False positive issue)<\/li>\n<\/ul>\n<p>  <\/p>\n<div class=\"scrollable-table\">\n<table>\n<tr>\n<th>\u041a\u043e\u043c\u043f\u043e\u043d\u0435\u043d\u0442<\/th>\n<th>Nexus IQ<\/th>\n<th>Dependency Check<\/th>\n<th>Dependency Track<\/th>\n<th>Severity<\/th>\n<th>\u0420\u0435\u0437\u0443\u043b\u044c\u0442\u0430\u0442<\/th>\n<th>\u041a\u043e\u043c\u043c\u0435\u043d\u0442\u0430\u0440\u0438\u0439<\/th>\n<\/tr>\n<tr>\n<td>dom4j: 1.6.1<\/td>\n<td>CVE-2018-1000632<\/td>\n<td>CVE-2018-1000632<\/td>\n<td>CVE-2018-1000632<\/td>\n<td>High<\/td>\n<td>TRUE<\/td>\n<td><\/td>\n<\/tr>\n<tr>\n<td><\/td>\n<td>CVE-2020-10683<\/td>\n<td>CVE-2020-10683<\/td>\n<td>CVE-2020-10683<\/td>\n<td>High<\/td>\n<td>TRUE<\/td>\n<td><\/td>\n<\/tr>\n<tr>\n<td>log4j-core: 2.3<\/td>\n<td>CVE-2017-5645<\/td>\n<td>CVE-2017-5645<\/td>\n<td>CVE-2017-5645<\/td>\n<td>High<\/td>\n<td>TRUE<\/td>\n<td><\/td>\n<\/tr>\n<tr>\n<td><\/td>\n<td>CVE-2020-9488<\/td>\n<td>CVE-2020-9488<\/td>\n<td>CVE-2020-9488<\/td>\n<td>Low<\/td>\n<td>TRUE<\/td>\n<td><\/td>\n<\/tr>\n<tr>\n<td>log4j: 1.2.14<\/td>\n<td>CVE-2019-17571<\/td>\n<td>CVE-2019-17571<\/td>\n<td>&#8212;<\/td>\n<td>High<\/td>\n<td>TRUE<\/td>\n<td><\/td>\n<\/tr>\n<tr>\n<td><\/td>\n<td>&#8212;<\/td>\n<td>CVE-2020-9488<\/td>\n<td>&#8212;<\/td>\n<td>Low<\/td>\n<td>TRUE<\/td>\n<td><\/td>\n<\/tr>\n<tr>\n<td><\/td>\n<td>SONATYPE-2010-0053<\/td>\n<td>&#8212;<\/td>\n<td>&#8212;<\/td>\n<td>High<\/td>\n<td>TRUE<\/td>\n<td><\/td>\n<\/tr>\n<tr>\n<td>commons-collections:3.1<\/td>\n<td>&#8212;<\/td>\n<td>CVE-2015-6420<\/td>\n<td>CVE-2015-6420<\/td>\n<td>High<\/td>\n<td>FALSE<\/td>\n<td>\u0414\u0443\u0431\u043b\u0438\u0440\u0443\u0435\u0442 RCE(OSSINDEX)  <\/td>\n<\/tr>\n<tr>\n<td><\/td>\n<td>&#8212;<\/td>\n<td>CVE-2017-15708<\/td>\n<td>CVE-2017-15708<\/td>\n<td>High<\/td>\n<td>FALSE<\/td>\n<td>\u0414\u0443\u0431\u043b\u0438\u0440\u0443\u0435\u0442 RCE(OSSINDEX)  <\/td>\n<\/tr>\n<tr>\n<td><\/td>\n<td>SONATYPE-2015-0002<\/td>\n<td>RCE (OSSINDEX)<\/td>\n<td>RCE(OSSINDEX)<\/td>\n<td>High<\/td>\n<td>TRUE<\/td>\n<td><\/td>\n<\/tr>\n<tr>\n<td>commons-fileupload:1.3.2<\/td>\n<td>CVE-2016-1000031<\/td>\n<td>CVE-2016-1000031<\/td>\n<td>CVE-2016-1000031<\/td>\n<td>High<\/td>\n<td>TRUE<\/td>\n<td><\/td>\n<\/tr>\n<tr>\n<td><\/td>\n<td>SONATYPE-2014-0173<\/td>\n<td>&#8212;<\/td>\n<td>&#8212;<\/td>\n<td>Medium<\/td>\n<td>TRUE<\/td>\n<td><\/td>\n<\/tr>\n<tr>\n<td>commons-beanutils:1.7.0<\/td>\n<td>CVE-2014-0114<\/td>\n<td>CVE-2014-0114<\/td>\n<td>CVE-2014-0114<\/td>\n<td>High<\/td>\n<td>TRUE<\/td>\n<td><\/td>\n<\/tr>\n<tr>\n<td><\/td>\n<td>&#8212;<\/td>\n<td>CVE-2019-10086<\/td>\n<td>CVE-2019-10086<\/td>\n<td>High<\/td>\n<td>FALSE<\/td>\n<td>\u0423\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c \u043f\u0440\u0438\u043c\u0435\u043d\u0438\u043c\u0430 \u0442\u043e\u043b\u044c\u043a\u043e \u0434\u043b\u044f \u0432\u0435\u0440\u0441\u0438\u0439 1.9.2+  <\/td>\n<\/tr>\n<tr>\n<td>commons-codec:1:10<\/td>\n<td>SONATYPE-2012-0050<\/td>\n<td>&#8212;<\/td>\n<td>&#8212;<\/td>\n<td>Medium<\/td>\n<td>TRUE<\/td>\n<td><\/td>\n<\/tr>\n<tr>\n<td>mysql-connector-java:5.1.42<\/td>\n<td>CVE-2018-3258<\/td>\n<td>CVE-2018-3258<\/td>\n<td>CVE-2018-3258<\/td>\n<td>High<\/td>\n<td>TRUE<\/td>\n<td><\/td>\n<\/tr>\n<tr>\n<td><\/td>\n<td>CVE-2019-2692<\/td>\n<td>CVE-2019-2692<\/td>\n<td>&#8212;<\/td>\n<td>Medium<\/td>\n<td>TRUE<\/td>\n<td><\/td>\n<\/tr>\n<tr>\n<td><\/td>\n<td>&#8212;<\/td>\n<td>CVE-2020-2875<\/td>\n<td>&#8212;<\/td>\n<td>Medium<\/td>\n<td>FALSE<\/td>\n<td>\u0422\u0430 \u0436\u0435 \u0441\u0430\u043c\u0430\u044f \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c \u043a\u0430\u043a \u0438 CVE-2019-2692, \u043d\u043e c \u043f\u0440\u0438\u043f\u0438\u0441\u043a\u043e\u0439 \u00abattacks may significantly impact additional products\u00bb  <\/td>\n<\/tr>\n<tr>\n<td><\/td>\n<td>&#8212;<\/td>\n<td>CVE-2017-15945<\/td>\n<td>&#8212;<\/td>\n<td>High<\/td>\n<td>FALSE<\/td>\n<td>\u041d\u0435 \u043e\u0442\u043d\u043e\u0441\u0438\u0442\u0441\u044f \u043a mysql-connector-java  <\/td>\n<\/tr>\n<tr>\n<td><\/td>\n<td>&#8212;<\/td>\n<td>CVE-2020-2933<\/td>\n<td>&#8212;<\/td>\n<td>Low<\/td>\n<td>FALSE<\/td>\n<td>\u0414\u0443\u0431\u043b\u0438\u043a\u0430\u0442 \u043a CVE-2020-2934  <\/td>\n<\/tr>\n<tr>\n<td><\/td>\n<td>CVE-2020-2934<\/td>\n<td>CVE-2020-2934<\/td>\n<td>&#8212;<\/td>\n<td>Medium<\/td>\n<td>TRUE<\/td>\n<td><\/td>\n<\/tr>\n<tr>\n<td>spring-expression:3.0.5<\/td>\n<td>CVE-2018-1270<\/td>\n<td>\u043a\u043e\u043c\u043f\u043e\u043d\u0435\u043d\u0442 \u043d\u0435 \u043d\u0430\u0439\u0434\u0435\u043d<\/td>\n<td>&#8212;<\/td>\n<td>High<\/td>\n<td>TRUE<\/td>\n<td><\/td>\n<\/tr>\n<tr>\n<td><\/td>\n<td>CVE-2018-1257<\/td>\n<td>&#8212;<\/td>\n<td>&#8212;<\/td>\n<td>Medium<\/td>\n<td>TRUE<\/td>\n<td><\/td>\n<\/tr>\n<tr>\n<td>spring-web:3.0.5<\/td>\n<td>CVE-2016-1000027<\/td>\n<td>\u043a\u043e\u043c\u043f\u043e\u043d\u0435\u043d\u0442 \u043d\u0435 \u043d\u0430\u0439\u0434\u0435\u043d<\/td>\n<td>&#8212;<\/td>\n<td>High<\/td>\n<td>TRUE<\/td>\n<td><\/td>\n<\/tr>\n<tr>\n<td><\/td>\n<td>CVE-2014-0225<\/td>\n<td>&#8212;<\/td>\n<td>CVE-2014-0225<\/td>\n<td>High<\/td>\n<td>TRUE<\/td>\n<td><\/td>\n<\/tr>\n<tr>\n<td><\/td>\n<td>CVE-2011-2730<\/td>\n<td>&#8212;<\/td>\n<td>&#8212;<\/td>\n<td>High<\/td>\n<td>TRUE<\/td>\n<td><\/td>\n<\/tr>\n<tr>\n<td><\/td>\n<td>&#8212;<\/td>\n<td>&#8212;<\/td>\n<td>CVE-2013-4152<\/td>\n<td>Medium<\/td>\n<td>TRUE<\/td>\n<td><\/td>\n<\/tr>\n<tr>\n<td><\/td>\n<td>CVE-2018-1272<\/td>\n<td>&#8212;<\/td>\n<td>&#8212;<\/td>\n<td>High<\/td>\n<td>TRUE<\/td>\n<td><\/td>\n<\/tr>\n<tr>\n<td><\/td>\n<td>CVE-2020-5398<\/td>\n<td>&#8212;<\/td>\n<td>&#8212;<\/td>\n<td>High<\/td>\n<td>TRUE<\/td>\n<td>\u041f\u043e\u043a\u0430\u0437\u0430\u0442\u0435\u043b\u044c\u043d\u044b\u0439 \u043f\u0440\u0438\u043c\u0435\u0440 \u0432 \u043f\u043e\u043b\u044c\u0437\u0443 IQ: \u00abThe Sonatype security research team discovered that this vulnerability was introduced in version 3.0.2.RELEASE and not 5.0.x as stated in the advisory.\u00bb  <\/td>\n<\/tr>\n<tr>\n<td><\/td>\n<td>CVE-2013-6429<\/td>\n<td>&#8212;<\/td>\n<td>&#8212;<\/td>\n<td>Medium<\/td>\n<td>TRUE<\/td>\n<td><\/td>\n<\/tr>\n<tr>\n<td><\/td>\n<td>CVE-2014-0054<\/td>\n<td>&#8212;<\/td>\n<td>CVE-2014-0054<\/td>\n<td>Medium<\/td>\n<td>TRUE<\/td>\n<td><\/td>\n<\/tr>\n<tr>\n<td><\/td>\n<td>CVE-2013-6430<\/td>\n<td>&#8212;<\/td>\n<td>&#8212;<\/td>\n<td>Medium<\/td>\n<td>TRUE<\/td>\n<td><\/td>\n<\/tr>\n<tr>\n<td>spring-context:3.0.5<\/td>\n<td>CVE-2011-2894<\/td>\n<td>\u043a\u043e\u043c\u043f\u043e\u043d\u0435\u043d\u0442 \u043d\u0435 \u043d\u0430\u0439\u0434\u0435\u043d<\/td>\n<td>&#8212;<\/td>\n<td>Medium<\/td>\n<td>TRUE<\/td>\n<td><\/td>\n<\/tr>\n<tr>\n<td>spring-core:3.0.5<\/td>\n<td>&#8212;<\/td>\n<td>CVE-2011-2730<\/td>\n<td>CVE-2011-2730<\/td>\n<td>High<\/td>\n<td>TRUE<\/td>\n<td><\/td>\n<\/tr>\n<tr>\n<td><\/td>\n<td>CVE-2011-2894<\/td>\n<td>CVE-2011-2894<\/td>\n<td>CVE-2011-2894<\/td>\n<td>Medium<\/td>\n<td>TRUE<\/td>\n<td><\/td>\n<\/tr>\n<tr>\n<td><\/td>\n<td>&#8212;<\/td>\n<td>&#8212;<\/td>\n<td>CVE-2013-4152<\/td>\n<td>Medium<\/td>\n<td>FALSE<\/td>\n<td>\u0414\u0443\u0431\u043b\u0438\u043a\u0430\u0442 \u044d\u0442\u043e\u0439 \u0436\u0435 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0438 \u0432 spring-web  <\/td>\n<\/tr>\n<tr>\n<td><\/td>\n<td>&#8212;<\/td>\n<td>CVE-2013-4152<\/td>\n<td>&#8212;<\/td>\n<td>Medium<\/td>\n<td>FALSE<\/td>\n<td>\u0423\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c \u043e\u0442\u043d\u043e\u0441\u0438\u0442\u0441\u044f \u043a \u043a\u043e\u043c\u043f\u043e\u043d\u0435\u043d\u0442\u0435 spring-web  <\/td>\n<\/tr>\n<tr>\n<td><\/td>\n<td>&#8212;<\/td>\n<td>CVE-2013-6429<\/td>\n<td>CVE-2013-6429<\/td>\n<td>Medium<\/td>\n<td>FALSE<\/td>\n<td>\u0423\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c \u043e\u0442\u043d\u043e\u0441\u0438\u0442\u0441\u044f \u043a \u043a\u043e\u043c\u043f\u043e\u043d\u0435\u043d\u0442\u0435 spring-web  <\/td>\n<\/tr>\n<tr>\n<td><\/td>\n<td>&#8212;<\/td>\n<td>CVE-2013-6430<\/td>\n<td>&#8212;<\/td>\n<td>Medium<\/td>\n<td>FALSE<\/td>\n<td>\u0423\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c \u043e\u0442\u043d\u043e\u0441\u0438\u0442\u0441\u044f \u043a \u043a\u043e\u043c\u043f\u043e\u043d\u0435\u043d\u0442\u0435 spring-web  <\/td>\n<\/tr>\n<tr>\n<td><\/td>\n<td>&#8212;<\/td>\n<td>CVE-2013-7315<\/td>\n<td>CVE-2013-7315<\/td>\n<td>Medium<\/td>\n<td>FALSE<\/td>\n<td>SPLIT \u0438\u0437 CVE-2013-4152. + \u0423\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c \u043e\u0442\u043d\u043e\u0441\u0438\u0442\u0441\u044f \u043a \u043a\u043e\u043c\u043f\u043e\u043d\u0435\u043d\u0442\u0435 spring-web  <\/td>\n<\/tr>\n<tr>\n<td><\/td>\n<td>&#8212;<\/td>\n<td>CVE-2014-0054<\/td>\n<td>CVE-2014-0054<\/td>\n<td>Medium<\/td>\n<td>FALSE<\/td>\n<td>\u0423\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c \u043e\u0442\u043d\u043e\u0441\u0438\u0442\u0441\u044f \u043a \u043a\u043e\u043c\u043f\u043e\u043d\u0435\u043d\u0442\u0435 spring-web  <\/td>\n<\/tr>\n<tr>\n<td><\/td>\n<td>&#8212;<\/td>\n<td>CVE-2014-0225<\/td>\n<td>&#8212;<\/td>\n<td>High<\/td>\n<td>FALSE<\/td>\n<td>\u0423\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c \u043e\u0442\u043d\u043e\u0441\u0438\u0442\u0441\u044f \u043a \u043a\u043e\u043c\u043f\u043e\u043d\u0435\u043d\u0442\u0435 spring-web  <\/td>\n<\/tr>\n<tr>\n<td><\/td>\n<td>&#8212;<\/td>\n<td>&#8212;<\/td>\n<td>CVE-2014-0225<\/td>\n<td>High<\/td>\n<td>FALSE<\/td>\n<td>\u0414\u0443\u0431\u043b\u0438\u043a\u0430\u0442 \u044d\u0442\u043e\u0439 \u0436\u0435 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0438 \u0432 spring-web  <\/td>\n<\/tr>\n<tr>\n<td><\/td>\n<td>&#8212;<\/td>\n<td>CVE-2014-1904<\/td>\n<td>CVE-2014-1904<\/td>\n<td>Medium<\/td>\n<td>FALSE<\/td>\n<td>\u0423\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c \u043e\u0442\u043d\u043e\u0441\u0438\u0442\u0441\u044f \u043a \u043a\u043e\u043c\u043f\u043e\u043d\u0435\u043d\u0442\u0435 spring-web-mvc  <\/td>\n<\/tr>\n<tr>\n<td><\/td>\n<td>&#8212;<\/td>\n<td>CVE-2014-3625<\/td>\n<td>CVE-2014-3625<\/td>\n<td>Medium<\/td>\n<td>FALSE<\/td>\n<td>\u0423\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c \u043e\u0442\u043d\u043e\u0441\u0438\u0442\u0441\u044f \u043a \u043a\u043e\u043c\u043f\u043e\u043d\u0435\u043d\u0442\u0435 spring-web-mvc  <\/td>\n<\/tr>\n<tr>\n<td><\/td>\n<td>&#8212;<\/td>\n<td>CVE-2016-9878<\/td>\n<td>CVE-2016-9878<\/td>\n<td>High<\/td>\n<td>FALSE<\/td>\n<td>\u0423\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c \u043e\u0442\u043d\u043e\u0441\u0438\u0442\u0441\u044f \u043a \u043a\u043e\u043c\u043f\u043e\u043d\u0435\u043d\u0442\u0435 spring-web-mvc  <\/td>\n<\/tr>\n<tr>\n<td><\/td>\n<td>&#8212;<\/td>\n<td>CVE-2018-1270<\/td>\n<td>CVE-2018-1270<\/td>\n<td>High<\/td>\n<td>FALSE<\/td>\n<td>\u0414\u043b\u044f spring-expression \/ spring-messages  <\/td>\n<\/tr>\n<tr>\n<td><\/td>\n<td>&#8212;<\/td>\n<td>CVE-2018-1271<\/td>\n<td>CVE-2018-1271<\/td>\n<td>Medium<\/td>\n<td>FALSE<\/td>\n<td>\u0423\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c \u043e\u0442\u043d\u043e\u0441\u0438\u0442\u0441\u044f \u043a \u043a\u043e\u043c\u043f\u043e\u043d\u0435\u043d\u0442\u0435 spring-web-mvc  <\/td>\n<\/tr>\n<tr>\n<td><\/td>\n<td>&#8212;<\/td>\n<td>CVE-2018-1272<\/td>\n<td>CVE-2018-1272<\/td>\n<td>High<\/td>\n<td>TRUE<\/td>\n<td><\/td>\n<\/tr>\n<tr>\n<td><\/td>\n<td>CVE-2014-3578<\/td>\n<td>CVE-2014-3578 (OSSINDEX)<\/td>\n<td>CVE-2014-3578<\/td>\n<td>Medium<\/td>\n<td>TRUE<\/td>\n<td><\/td>\n<\/tr>\n<tr>\n<td><\/td>\n<td>SONATYPE-2015-0327<\/td>\n<td>&#8212;<\/td>\n<td>&#8212;<\/td>\n<td>Low<\/td>\n<td>TRUE<\/td>\n<td><\/td>\n<\/tr>\n<tr>\n<td>struts2-config-browser-plugin:2.3.30<\/td>\n<td>SONATYPE-2016-0104<\/td>\n<td>&#8212;<\/td>\n<td>&#8212;<\/td>\n<td>Medium<\/td>\n<td>TRUE<\/td>\n<td><\/td>\n<\/tr>\n<tr>\n<td>spring-tx:3.0.5<\/td>\n<td>&#8212;<\/td>\n<td>CVE-2011-2730<\/td>\n<td>&#8212;<\/td>\n<td>High<\/td>\n<td>FALSE<\/td>\n<td>\u0423\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c \u043d\u0435 \u043e\u0442\u043d\u043e\u0441\u0438\u0442\u0441\u044f \u043a spring-tx  <\/td>\n<\/tr>\n<tr>\n<td><\/td>\n<td>&#8212;<\/td>\n<td>CVE-2011-2894<\/td>\n<td>&#8212;<\/td>\n<td>High<\/td>\n<td>FALSE<\/td>\n<td>\u0423\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c \u043d\u0435 \u043e\u0442\u043d\u043e\u0441\u0438\u0442\u0441\u044f \u043a spring-tx  <\/td>\n<\/tr>\n<tr>\n<td><\/td>\n<td>&#8212;<\/td>\n<td>CVE-2013-4152<\/td>\n<td>&#8212;<\/td>\n<td>Medium<\/td>\n<td>FALSE<\/td>\n<td>\u0423\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c \u043d\u0435 \u043e\u0442\u043d\u043e\u0441\u0438\u0442\u0441\u044f \u043a spring-tx  <\/td>\n<\/tr>\n<tr>\n<td><\/td>\n<td>&#8212;<\/td>\n<td>CVE-2013-6429<\/td>\n<td>&#8212;<\/td>\n<td>Medium<\/td>\n<td>FALSE<\/td>\n<td>\u0423\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c \u043d\u0435 \u043e\u0442\u043d\u043e\u0441\u0438\u0442\u0441\u044f \u043a spring-tx  <\/td>\n<\/tr>\n<tr>\n<td><\/td>\n<td>&#8212;<\/td>\n<td>CVE-2013-6430<\/td>\n<td>&#8212;<\/td>\n<td>Medium<\/td>\n<td>FALSE<\/td>\n<td>\u0423\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c \u043d\u0435 \u043e\u0442\u043d\u043e\u0441\u0438\u0442\u0441\u044f \u043a spring-tx  <\/td>\n<\/tr>\n<tr>\n<td><\/td>\n<td>&#8212;<\/td>\n<td>CVE-2013-7315<\/td>\n<td>&#8212;<\/td>\n<td>Medium<\/td>\n<td>FALSE<\/td>\n<td>\u0423\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c \u043d\u0435 \u043e\u0442\u043d\u043e\u0441\u0438\u0442\u0441\u044f \u043a spring-tx  <\/td>\n<\/tr>\n<tr>\n<td><\/td>\n<td>&#8212;<\/td>\n<td>CVE-2014-0054<\/td>\n<td>&#8212;<\/td>\n<td>Medium<\/td>\n<td>FALSE<\/td>\n<td>\u0423\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c \u043d\u0435 \u043e\u0442\u043d\u043e\u0441\u0438\u0442\u0441\u044f \u043a spring-tx  <\/td>\n<\/tr>\n<tr>\n<td><\/td>\n<td>&#8212;<\/td>\n<td>CVE-2014-0225<\/td>\n<td>&#8212;<\/td>\n<td>High<\/td>\n<td>FALSE<\/td>\n<td>\u0423\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c \u043d\u0435 \u043e\u0442\u043d\u043e\u0441\u0438\u0442\u0441\u044f \u043a spring-tx  <\/td>\n<\/tr>\n<tr>\n<td><\/td>\n<td>&#8212;<\/td>\n<td>CVE-2014-1904<\/td>\n<td>&#8212;<\/td>\n<td>Medium<\/td>\n<td>FALSE<\/td>\n<td>\u0423\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c \u043d\u0435 \u043e\u0442\u043d\u043e\u0441\u0438\u0442\u0441\u044f \u043a spring-tx  <\/td>\n<\/tr>\n<tr>\n<td><\/td>\n<td>&#8212;<\/td>\n<td>CVE-2014-3625<\/td>\n<td>&#8212;<\/td>\n<td>Medium<\/td>\n<td>FALSE<\/td>\n<td>\u0423\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c \u043d\u0435 \u043e\u0442\u043d\u043e\u0441\u0438\u0442\u0441\u044f \u043a spring-tx  <\/td>\n<\/tr>\n<tr>\n<td><\/td>\n<td>&#8212;<\/td>\n<td>CVE-2016-9878<\/td>\n<td>&#8212;<\/td>\n<td>High<\/td>\n<td>FALSE<\/td>\n<td>\u0423\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c \u043d\u0435 \u043e\u0442\u043d\u043e\u0441\u0438\u0442\u0441\u044f \u043a spring-tx  <\/td>\n<\/tr>\n<tr>\n<td><\/td>\n<td>&#8212;<\/td>\n<td>CVE-2018-1270<\/td>\n<td>&#8212;<\/td>\n<td>High<\/td>\n<td>FALSE<\/td>\n<td>\u0423\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c \u043d\u0435 \u043e\u0442\u043d\u043e\u0441\u0438\u0442\u0441\u044f \u043a spring-tx  <\/td>\n<\/tr>\n<tr>\n<td><\/td>\n<td>&#8212;<\/td>\n<td>CVE-2018-1271<\/td>\n<td>&#8212;<\/td>\n<td>Medium<\/td>\n<td>FALSE<\/td>\n<td>\u0423\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c \u043d\u0435 \u043e\u0442\u043d\u043e\u0441\u0438\u0442\u0441\u044f \u043a spring-tx  <\/td>\n<\/tr>\n<tr>\n<td><\/td>\n<td>&#8212;<\/td>\n<td>CVE-2018-1272<\/td>\n<td>&#8212;<\/td>\n<td>Medium<\/td>\n<td>FALSE<\/td>\n<td>\u0423\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c \u043d\u0435 \u043e\u0442\u043d\u043e\u0441\u0438\u0442\u0441\u044f \u043a spring-tx  <\/td>\n<\/tr>\n<tr>\n<td>struts-core:1.3.8<\/td>\n<td>&#8212;<\/td>\n<td>CVE-2011-5057 (OSSINDEX)  <\/td>\n<td><\/td>\n<td>Medium<\/td>\n<td>FASLE<\/td>\n<td>\u0423\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c \u043a Struts 2  <\/td>\n<\/tr>\n<tr>\n<td><\/td>\n<td>&#8212;<\/td>\n<td>CVE-2012-0391 (OSSINDEX)<\/td>\n<td>CVE-2012-0391<\/td>\n<td>High<\/td>\n<td>FALSE<\/td>\n<td>\u0423\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c \u043a Struts 2  <\/td>\n<\/tr>\n<tr>\n<td><\/td>\n<td>&#8212;<\/td>\n<td>CVE-2014-0094 (OSSINDEX)<\/td>\n<td>CVE-2014-0094<\/td>\n<td>Medium<\/td>\n<td>FALSE<\/td>\n<td>\u0423\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c \u043a Struts 2  <\/td>\n<\/tr>\n<tr>\n<td><\/td>\n<td>&#8212;<\/td>\n<td>CVE-2014-0113 (OSSINDEX)<\/td>\n<td>CVE-2014-0113<\/td>\n<td>High<\/td>\n<td>FALSE<\/td>\n<td>\u0423\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c \u043a Struts 2  <\/td>\n<\/tr>\n<tr>\n<td><\/td>\n<td>CVE-2016-1182<\/td>\n<td>3VE-2016-1182<\/td>\n<td>&#8212;<\/td>\n<td>High<\/td>\n<td>TRUE<\/td>\n<td><\/td>\n<\/tr>\n<tr>\n<td><\/td>\n<td>&#8212;<\/td>\n<td>&#8212;<\/td>\n<td>CVE-2011-5057<\/td>\n<td>Medium<\/td>\n<td>FALSE<\/td>\n<td>\u0423\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c \u043a Struts 2  <\/td>\n<\/tr>\n<tr>\n<td><\/td>\n<td>&#8212;<\/td>\n<td>CVE-2012-0392 (OSSINDEX)<\/td>\n<td>CVE-2012-0392<\/td>\n<td>High<\/td>\n<td>FALSE<\/td>\n<td>\u0423\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c \u043a Struts 2  <\/td>\n<\/tr>\n<tr>\n<td><\/td>\n<td>&#8212;<\/td>\n<td>CVE-2012-0393 (OSSINDEX)<\/td>\n<td>CVE-2012-0393<\/td>\n<td>Medium<\/td>\n<td>FALSE<\/td>\n<td>\u0423\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c \u043a Struts 2  <\/td>\n<\/tr>\n<tr>\n<td><\/td>\n<td>CVE-2015-0899<\/td>\n<td>CVE-2015-0899<\/td>\n<td>&#8212;<\/td>\n<td>High<\/td>\n<td>TRUE<\/td>\n<td><\/td>\n<\/tr>\n<tr>\n<td><\/td>\n<td>&#8212;<\/td>\n<td>CVE-2012-0394<\/td>\n<td>CVE-2012-0394<\/td>\n<td>Medium<\/td>\n<td>FALSE<\/td>\n<td>\u0423\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c \u043a Struts 2  <\/td>\n<\/tr>\n<tr>\n<td><\/td>\n<td>&#8212;<\/td>\n<td>CVE-2012-0838 (OSSINDEX)<\/td>\n<td>CVE-2012-0838<\/td>\n<td>High<\/td>\n<td>FALSE<\/td>\n<td>\u0423\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c \u043a Struts 2  <\/td>\n<\/tr>\n<tr>\n<td><\/td>\n<td>&#8212;<\/td>\n<td>CVE-2013-1965 (OSSINDEX)<\/td>\n<td>CVE-2013-1965<\/td>\n<td>High<\/td>\n<td>FALSE<\/td>\n<td>\u0423\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c \u043a Struts 2  <\/td>\n<\/tr>\n<tr>\n<td><\/td>\n<td>&#8212;<\/td>\n<td>CVE-2013-1966 (OSSINDEX)<\/td>\n<td>CVE-2013-1966<\/td>\n<td>High<\/td>\n<td>FASLE<\/td>\n<td>\u0423\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c \u043a Struts 2  <\/td>\n<\/tr>\n<tr>\n<td><\/td>\n<td>&#8212;<\/td>\n<td>CVE-2013-2115<\/td>\n<td>CVE-2013-2115<\/td>\n<td>High<\/td>\n<td>FASLE<\/td>\n<td>\u0423\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c \u043a Struts 2  <\/td>\n<\/tr>\n<tr>\n<td><\/td>\n<td>&#8212;<\/td>\n<td>CVE-2013-2134 (OSSINDEX)<\/td>\n<td>CVE-2013-2134<\/td>\n<td>High<\/td>\n<td>FASLE<\/td>\n<td>\u0423\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c \u043a Struts 2  <\/td>\n<\/tr>\n<tr>\n<td><\/td>\n<td>&#8212;<\/td>\n<td>CVE-2013-2135 (OSSINDEX)<\/td>\n<td>CVE-2013-2135<\/td>\n<td>High<\/td>\n<td>FASLE<\/td>\n<td>\u0423\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c \u043a Struts 2  <\/td>\n<\/tr>\n<tr>\n<td><\/td>\n<td>CVE-2014-0114<\/td>\n<td>CVE-2014-0114<\/td>\n<td>&#8212;<\/td>\n<td>High<\/td>\n<td>TRUE<\/td>\n<td><\/td>\n<\/tr>\n<tr>\n<td><\/td>\n<td>&#8212;<\/td>\n<td>CVE-2015-2992<\/td>\n<td>CVE-2015-2992<\/td>\n<td>Medium<\/td>\n<td>FALSE<\/td>\n<td>\u0423\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c \u043a Struts 2  <\/td>\n<\/tr>\n<tr>\n<td><\/td>\n<td>&#8212;<\/td>\n<td>CVE-2016-0785 (OSSINDEX)<\/td>\n<td>CVE-2016-0785<\/td>\n<td>High<\/td>\n<td>FALSE<\/td>\n<td>\u0423\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c \u043a Struts 2  <\/td>\n<\/tr>\n<tr>\n<td><\/td>\n<td>CVE-2016-1181<\/td>\n<td>CVE-2016-1181<\/td>\n<td>&#8212;<\/td>\n<td>High<\/td>\n<td>TRUE<\/td>\n<td><\/td>\n<\/tr>\n<tr>\n<td><\/td>\n<td>&#8212;<\/td>\n<td>CVE-2016-4003 (OSSINDEX)<\/td>\n<td>CVE-2016-4003<\/td>\n<td>High<\/td>\n<td>FALSE<\/td>\n<td>\u0423\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c \u043a Struts 2  <\/td>\n<\/tr>\n<tr>\n<td>xwork-core:2.3.30<\/td>\n<td>CVE-2017-9804<\/td>\n<td>&#8212;<\/td>\n<td>&#8212;<\/td>\n<td>High<\/td>\n<td>TRUE<\/td>\n<td><\/td>\n<\/tr>\n<tr>\n<td><\/td>\n<td>SONATYPE-2017-0173<\/td>\n<td>&#8212;<\/td>\n<td>&#8212;<\/td>\n<td>High<\/td>\n<td>TRUE<\/td>\n<td><\/td>\n<\/tr>\n<tr>\n<td><\/td>\n<td>CVE-2017-7672<\/td>\n<td>&#8212;<\/td>\n<td>&#8212;<\/td>\n<td>High<\/td>\n<td>FALSE<\/td>\n<td>\u0414\u0443\u0431\u043b\u044c \u043a CVE-2017-9804  <\/td>\n<\/tr>\n<tr>\n<td><\/td>\n<td>SONATYPE-2016-0127<\/td>\n<td>&#8212;<\/td>\n<td>&#8212;<\/td>\n<td>High<\/td>\n<td>TRUE<\/td>\n<td><\/td>\n<\/tr>\n<tr>\n<td>struts2-core:2.3.30<\/td>\n<td>&#8212;<\/td>\n<td>CVE-2016-6795<\/td>\n<td>CVE-2016-6795<\/td>\n<td>High<\/td>\n<td>TRUE<\/td>\n<td><\/td>\n<\/tr>\n<tr>\n<td><\/td>\n<td>&#8212;<\/td>\n<td>CVE-2017-9787<\/td>\n<td>CVE-2017-9787<\/td>\n<td>High<\/td>\n<td>TRUE<\/td>\n<td><\/td>\n<\/tr>\n<tr>\n<td><\/td>\n<td>&#8212;<\/td>\n<td>CVE-2017-9791<\/td>\n<td>CVE-2017-9791<\/td>\n<td>High<\/td>\n<td>TRUE<\/td>\n<td><\/td>\n<\/tr>\n<tr>\n<td><\/td>\n<td>&#8212;<\/td>\n<td>CVE-2017-9793<\/td>\n<td>&#8212;<\/td>\n<td>High<\/td>\n<td>FALSE<\/td>\n<td>\u0414\u0443\u0431\u043b\u0438\u043a\u0430\u0442 \u043a CVE-2018-1327  <\/td>\n<\/tr>\n<tr>\n<td><\/td>\n<td>&#8212;<\/td>\n<td>CVE-2017-9804<\/td>\n<td>&#8212;<\/td>\n<td>High<\/td>\n<td>TRUE<\/td>\n<td><\/td>\n<\/tr>\n<tr>\n<td><\/td>\n<td>&#8212;<\/td>\n<td>CVE-2017-9805<\/td>\n<td>CVE-2017-9805<\/td>\n<td>High<\/td>\n<td>TRUE<\/td>\n<td><\/td>\n<\/tr>\n<tr>\n<td><\/td>\n<td>CVE-2016-4003<\/td>\n<td>&#8212;<\/td>\n<td>&#8212;<\/td>\n<td>Medium<\/td>\n<td>FALSE<\/td>\n<td>\u041f\u0440\u0438\u043c\u0435\u043d\u0438\u043c\u043e \u043a Apache Struts 2.x \u0434\u043e 2.3.28, \u0430 \u044d\u0442\u043e \u0432\u0435\u0440\u0441\u0438\u044f 2.3.30. \u0422\u0435\u043c \u043d\u0435 \u043c\u0435\u043d\u0435\u0435, \u0438\u0441\u0445\u043e\u0434\u044f \u0438\u0437 \u043e\u043f\u0438\u0441\u0430\u043d\u0438\u044f, CVE \u0434\u0435\u0439\u0441\u0442\u0432\u0443\u0435\u0442 \u043f\u0440\u0438 \u043b\u044e\u0431\u044b\u0445 \u0432\u0435\u0440\u0441\u0438\u044f\u0445 Struts 2, \u0435\u0441\u043b\u0438 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u0435\u0442\u0441\u044f JRE 1.7 \u0438 \u043c\u0435\u043d\u044c\u0448\u0435. \u0412\u0438\u0434\u0438\u043c\u043e \u043d\u0430\u0441 \u0442\u0443\u0442 \u0440\u0435\u0448\u0438\u043b\u0438 \u043f\u0435\u0440\u0435\u0441\u0442\u0440\u0430\u0445\u043e\u0432\u0430\u0442\u044c, \u043d\u043e \u0431\u043e\u043b\u044c\u0448\u0435 \u043f\u043e\u0445\u043e\u0436\u0435 \u043d\u0430 FALSE  <\/td>\n<\/tr>\n<tr>\n<td><\/td>\n<td>&#8212;<\/td>\n<td>CVE-2018-1327<\/td>\n<td>CVE-2018-1327<\/td>\n<td>High<\/td>\n<td>TRUE<\/td>\n<td><\/td>\n<\/tr>\n<tr>\n<td><\/td>\n<td>CVE-2017-5638<\/td>\n<td>CVE-2017-5638<\/td>\n<td>CVE-2017-5638<\/td>\n<td>High<\/td>\n<td>TRUE<\/td>\n<td>\u0422\u0430 \u0441\u0430\u043c\u0430\u044f \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c, \u043a\u043e\u0442\u043e\u0440\u043e\u0439 \u0432\u043e\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043b\u0438\u0441\u044c \u0437\u043b\u043e\u0443\u043c\u044b\u0448\u043b\u0435\u043d\u043d\u0438\u043a\u0438 \u0432 Equifax \u0432 2017 \u0433\u043e\u0434\u0443  <\/td>\n<\/tr>\n<tr>\n<td><\/td>\n<td>CVE-2017-12611<\/td>\n<td>CVE-2017-12611<\/td>\n<td>&#8212;<\/td>\n<td>High<\/td>\n<td>TRUE<\/td>\n<td><\/td>\n<\/tr>\n<tr>\n<td><\/td>\n<td>CVE-2018-11776<\/td>\n<td>CVE-2018-11776<\/td>\n<td>CVE-2018-11776<\/td>\n<td>High<\/td>\n<td>TRUE<\/td>\n<td><\/td>\n<\/tr>\n<tr>\n<td>struts-taglib:1.3.8<\/td>\n<td>&#8212;<\/td>\n<td>CVE-2012-0394<\/td>\n<td>&#8212;<\/td>\n<td>Medium<\/td>\n<td>FALSE<\/td>\n<td>\u0414\u043b\u044f struts2-core<\/td>\n<\/tr>\n<tr>\n<td><\/td>\n<td>&#8212;<\/td>\n<td>CVE-2013-2115<\/td>\n<td>&#8212;<\/td>\n<td>High<\/td>\n<td>FALSE<\/td>\n<td>\u0414\u043b\u044f struts2-core<\/td>\n<\/tr>\n<tr>\n<td><\/td>\n<td>&#8212;<\/td>\n<td>CVE-2014-0114<\/td>\n<td>&#8212;<\/td>\n<td>High<\/td>\n<td>FALSE<\/td>\n<td>\u0414\u043b\u044f commons-beanutils  <\/td>\n<\/tr>\n<tr>\n<td><\/td>\n<td>&#8212;<\/td>\n<td>CVE-2015-0899<\/td>\n<td>&#8212;<\/td>\n<td>High<\/td>\n<td>FALSE<\/td>\n<td>\u041d\u0435 \u043e\u0442\u043d\u043e\u0441\u0438\u0442\u0441\u044f \u043a taglib  <\/td>\n<\/tr>\n<tr>\n<td><\/td>\n<td>&#8212;<\/td>\n<td>CVE-2015-2992<\/td>\n<td>&#8212;<\/td>\n<td>Medium<\/td>\n<td>FALSE<\/td>\n<td>\u041e\u0442\u043d\u043e\u0441\u0438\u0442\u0441\u044f \u043a struts2-core  <\/td>\n<\/tr>\n<tr>\n<td><\/td>\n<td>&#8212;<\/td>\n<td>CVE-2016-1181<\/td>\n<td>&#8212;<\/td>\n<td>High<\/td>\n<td>FALSE<\/td>\n<td>\u041d\u0435 \u043e\u0442\u043d\u043e\u0441\u0438\u0442\u0441\u044f \u043a taglib  <\/td>\n<\/tr>\n<tr>\n<td><\/td>\n<td>&#8212;<\/td>\n<td>CVE-2016-1182<\/td>\n<td>&#8212;<\/td>\n<td>High<\/td>\n<td>FALSE<\/td>\n<td>\u041d\u0435 \u043e\u0442\u043d\u043e\u0441\u0438\u0442\u0441\u044f \u043a taglib  <\/td>\n<\/tr>\n<tr>\n<td>struts-tiles-1.3.8<\/td>\n<td>&#8212;<\/td>\n<td>CVE-2012-0394<\/td>\n<td>&#8212;<\/td>\n<td>Medium<\/td>\n<td>FALSE<\/td>\n<td>\u0414\u043b\u044f struts2-core<\/td>\n<\/tr>\n<tr>\n<td><\/td>\n<td>&#8212;<\/td>\n<td>CVE-2013-2115<\/td>\n<td>&#8212;<\/td>\n<td>High<\/td>\n<td>FALSE<\/td>\n<td>\u0414\u043b\u044f struts2-core<\/td>\n<\/tr>\n<tr>\n<td><\/td>\n<td>&#8212;<\/td>\n<td>CVE-2014-0114<\/td>\n<td>&#8212;<\/td>\n<td>High<\/td>\n<td>FALSE<\/td>\n<td>\u041f\u043e\u0434 commons-beanutils  <\/td>\n<\/tr>\n<tr>\n<td><\/td>\n<td>&#8212;<\/td>\n<td>CVE-2015-0899<\/td>\n<td>&#8212;<\/td>\n<td>High<\/td>\n<td>FALSE<\/td>\n<td>\u041d\u0435 \u043e\u0442\u043d\u043e\u0441\u0438\u0442\u0441\u044f \u043a tiles  <\/td>\n<\/tr>\n<tr>\n<td><\/td>\n<td>&#8212;<\/td>\n<td>CVE-2015-2992<\/td>\n<td>&#8212;<\/td>\n<td>Medium<\/td>\n<td>FALSE<\/td>\n<td>\u0414\u043b\u044f struts2-core<\/td>\n<\/tr>\n<tr>\n<td><\/td>\n<td>&#8212;<\/td>\n<td>CVE-2016-1181<\/td>\n<td>&#8212;<\/td>\n<td>High<\/td>\n<td>FALSE<\/td>\n<td>\u041d\u0435 \u043e\u0442\u043d\u043e\u0441\u0438\u0442\u0441\u044f \u043a taglib  <\/td>\n<\/tr>\n<tr>\n<td><\/td>\n<td>&#8212;<\/td>\n<td>CVE-2016-1182<\/td>\n<td>&#8212;<\/td>\n<td>High<\/td>\n<td>FALSE<\/td>\n<td>\u041d\u0435 \u043e\u0442\u043d\u043e\u0441\u0438\u0442\u0441\u044f \u043a taglib  <\/td>\n<\/tr>\n<\/table>\n<\/div>\n<p>  <\/div>\n<\/p><\/div>\n<\/div>\n<p> \u0441\u0441\u044b\u043b\u043a\u0430 \u043d\u0430 \u043e\u0440\u0438\u0433\u0438\u043d\u0430\u043b \u0441\u0442\u0430\u0442\u044c\u0438 <a href=\"https:\/\/habr.com\/ru\/post\/516660\/\"> https:\/\/habr.com\/ru\/post\/516660\/<\/a><\/p>\n","protected":false},"excerpt":{"rendered":"\n<div class=\"post__text post__text-html post__text_v1\" id=\"post-content-body\" data-io-article-url=\"https:\/\/habr.com\/ru\/post\/516660\/\">\u0417\u043d\u0430\u0447\u0438\u043c\u043e\u0441\u0442\u044c \u0430\u043d\u0430\u043b\u0438\u0437\u0430 \u0441\u0442\u043e\u0440\u043e\u043d\u043d\u0438\u0445 \u043a\u043e\u043c\u043f\u043e\u043d\u0435\u043d\u0442\u043e\u0432 \u041f\u041e (\u0430\u043d\u0433\u043b. Software Composition Analysis \u2014 SCA) \u0432 \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u0435 \u0440\u0430\u0437\u0440\u0430\u0431\u043e\u0442\u043a\u0438 \u0440\u0430\u0441\u0442\u0435\u0442 \u043f\u043e \u043c\u0435\u0440\u0435 \u0432\u044b\u0445\u043e\u0434\u0430 \u0435\u0436\u0435\u0433\u043e\u0434\u043d\u044b\u0445 \u043e\u0442\u0447\u0435\u0442\u043e\u0432 \u043e\u0431 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044f\u0445 open source \u0431\u0438\u0431\u043b\u0438\u043e\u0442\u0435\u043a, \u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u043f\u0443\u0431\u043b\u0438\u043a\u0443\u044e\u0442\u0441\u044f \u043a\u043e\u043c\u043f\u0430\u043d\u0438\u044f\u043c\u0438 Synopsys, Sonatype, Snyk, White Source. \u0421\u043e\u0433\u043b\u0430\u0441\u043d\u043e \u043e\u0442\u0447\u0435\u0442\u0443 <a href=\"https:\/\/www.whitesourcesoftware.com\/open-source-vulnerability-management-report\/\">The State of Open Source Security Vulnerabilities 2020<\/a> \u0447\u0438\u0441\u043b\u043e \u0432\u044b\u044f\u0432\u043b\u0435\u043d\u043d\u044b\u0445 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0435\u0439 \u0432 open source \u0432 2019 \u0432\u044b\u0440\u043e\u0441\u043b\u043e \u043f\u043e\u0447\u0442\u0438 \u0432 1.5 \u0440\u0430\u0437\u0430 \u0432 \u0441\u0440\u0430\u0432\u043d\u0435\u043d\u0438\u0438 \u0441 \u043f\u0440\u0435\u0434\u044b\u0434\u0443\u0449\u0438\u043c \u0433\u043e\u0434\u043e\u043c, \u0432 \u0442\u043e \u0432\u0440\u0435\u043c\u044f \u043a\u0430\u043a \u043a\u043e\u043c\u043f\u043e\u043d\u0435\u043d\u0442\u044b \u0441 \u043e\u0442\u043a\u0440\u044b\u0442\u044b\u043c \u043a\u043e\u0434\u043e\u043c \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u044e\u0442\u0441\u044f \u043e\u0442 60% \u0434\u043e 80% \u043f\u0440\u043e\u0435\u043a\u0442\u043e\u0432. \u0415\u0441\u043b\u0438 \u043e\u0431\u0440\u0430\u0442\u0438\u0442\u044c\u0441\u044f \u043a \u043d\u0435\u0437\u0430\u0432\u0438\u0441\u0438\u043c\u043e\u043c\u0443 \u043c\u043d\u0435\u043d\u0438\u044e, \u0442\u043e \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u044b SCA \u044f\u0432\u043b\u044f\u044e\u0442\u0441\u044f \u043e\u0442\u0434\u0435\u043b\u044c\u043d\u043e\u0439 \u043f\u0440\u0430\u043a\u0442\u0438\u043a\u043e\u0439 OWASP SAMM \u0438 BSIMM \u0432 \u043a\u0430\u0447\u0435\u0441\u0442\u0432\u0435 \u043f\u043e\u043a\u0430\u0437\u0430\u0442\u0435\u043b\u044f \u0437\u0440\u0435\u043b\u043e\u0441\u0442\u0438, \u0430 \u0432 \u043f\u0435\u0440\u0432\u043e\u0439 \u043f\u043e\u043b\u043e\u0432\u0438\u043d\u0435 2020 \u0433\u043e\u0434\u0430 OWASP \u0432\u044b\u043f\u0443\u0441\u0442\u0438\u043b\u0430 \u043d\u043e\u0432\u044b\u0439 \u0441\u0442\u0430\u043d\u0434\u0430\u0440\u0442 OWASP Software Component Verification Standard (SCVS), \u043f\u0440\u0435\u0434\u043e\u0441\u0442\u0430\u0432\u043b\u044f\u044e\u0449\u0438\u0439 \u043b\u0443\u0447\u0448\u0438\u0435 \u043f\u0440\u0430\u043a\u0442\u0438\u043a\u0438 \u043f\u043e \u043f\u0440\u043e\u0432\u0435\u0440\u043a\u0435 \u0441\u0442\u043e\u0440\u043e\u043d\u043d\u0438\u0445 \u043a\u043e\u043c\u043f\u043e\u043d\u0435\u043d\u0442 \u0432 \u0446\u0435\u043f\u043e\u0447\u043a\u0435 \u043f\u043e\u0441\u0442\u0430\u0432\u043e\u043a \u041f\u041e.<\/p>\n<p>  <img decoding=\"async\" src=\"https:\/\/habrastorage.org\/webt\/v1\/gs\/li\/v1gsliw5axpmk9yusfgjzoa2cna.jpeg\"\/>  <\/p>\n","protected":false},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[],"tags":[],"class_list":["post-309045","post","type-post","status-publish","format-standard","hentry"],"_links":{"self":[{"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=\/wp\/v2\/posts\/309045","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=%2Fwp%2Fv2%2Fcomments&post=309045"}],"version-history":[{"count":0,"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=\/wp\/v2\/posts\/309045\/revisions"}],"wp:attachment":[{"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=%2Fwp%2Fv2%2Fmedia&parent=309045"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=%2Fwp%2Fv2%2Fcategories&post=309045"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=%2Fwp%2Fv2%2Ftags&post=309045"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}