LINUX.ORG.RU
решено Форум — Security  

Поиск CVE в Java

 ,


0

2

Всем доброго времени суток! Для поиска CVE в Nginx и Tomcat использую Nmap (Vulners + Vulscan).

А вот для установленой версии Java пока подобных инструментов проверки не нашел (только вручную определять версию и искать на сайтах с базами cve).

Как вы находите CVE в ваших версиях java ? Есть инструменты для авто-поиска ?


← Как в kleopatra сделать шифрование 8192 бита?
Россия изолировала значительную часть своей сетевой инфраструктуры от публичного доступа. →

Открываешь в intelliji idea pom.xml и она тебе светит все cve зависимости с сылками и другими интим подробностями.

https://i.imgur.com/xkkVvvF.png

Ну или в таком виде - во всем зависимостям и проектам.

Для анализа самое то.

https://i.imgur.com/ImAoA1t.png

vtVitus ★★★★★
()
Ответ на: комментарий от dim4k

Давайте подумаем вместе с вами, если бы существовала такая программа, которая автоматически искала CVE в программах, то все CVE уже давно бы закрыли. Но раз CVE существуют, то такой программы нет. Для нахождения CVE в openjdk вам придется изучить с++/java и пойти копаться в исходниках. Придется понять как устроена jvm, какие процессы происходят под капотом, как происходит этап сборки и т.д. И после ознакомления можно уже начинать искать ошибки в логике программы. А существующие ЦВЕ можете проверить по версии openjdk и базе данных цве.

anonymous
()
Ответ на: комментарий от dim4k

аааа… все понятно… каникулы, наверное. cve - это идентификатор уязвимости, выдаваемый специальной организацией. если ты собрался cve искать, то достаточно версию jdk узнать и на сайте посмотреть какие там cve… бредовая тема

rtxtxtrx ★★
()
Ответ на: комментарий от rtxtxtrx

ты собрался cve искать, то достаточно версию jdk узнать и на сайте посмотреть какие там cve

Да!!! Только сделать это через прогу (какую не знаю - потому и создал тему)!!! Вот Nginx и Tomcat - я проверяю через Nmap. Как проверить Java ???

dim4k
() автор топика
Ответ на: комментарий от dim4k

Ты дурак? Зачем у тебя установлен openjdk, если у тебя нет приложений, которые им запускаются? Просто удали его и любые cve в openjdk перестанут тебя беспокоить

cobold ★★★★★
()
Ответ на: комментарий от cobold

Попрошу без выражений. Если есть значит нужно! Есть приложения - но они к теме не относятся! Есть openjdk (какая то версия) - что бы узнать все CVE - нужно лезть в инет и искать их на сайтах или тематических БД. Я ищу то что может делать такие проверки автоматически!!!

dim4k
() автор топика
Последнее исправление: dim4k (всего исправлений: 1)
Ответ на: комментарий от ilinsky

Это интересно - но эта утилита больше для QA. А тут простая задача - проверить установленную в системе версию OpenJDK на наличие уязвимостей через базы cve (или офф сайт) - руками это быстро, хотелось бы автоматики.

Nmap - это делает только для «УЖЕ» запущенных приложений (Nginx, Tomcat), но сам OpenJDK он не проверит - потому что его нет в процессах(

dim4k
() автор топика
Ответ на: комментарий от dim4k

Да такого рода инструментов не один и коммерческие и некоммерческие, гугл в помощь. Если тебе надо решить узкую задачу с openjdk, то имхо проще bash/python скрипт написать, который запустит java –version, распарсит выхлоп и сходит на сайт cve.mitre.org

cobold ★★★★★
()
Ответ на: комментарий от cobold

запустит java –version, распарсит выхлоп и сходит на сайт cve.mitre.org

Эта идея у меня была, думал что до меня кто-то уже такое делал. В любом случае спасибо! Вы решили этот вопрос, теперь можно что-то начинать делать!!!

dim4k
() автор топика
← Как в kleopatra сделать шифрование 8192 бита?
Security
Россия изолировала значительную часть своей сетевой инфраструктуры от публичного доступа. →