Поиск CVE в Java

0

2

Всем доброго времени суток! Для поиска CVE в Nginx и Tomcat использую Nmap (Vulners + Vulscan).

А вот для установленой версии Java пока подобных инструментов проверки не нашел (только вручную определять версию и искать на сайтах с базами cve).

Как вы находите CVE в ваших версиях java ? Есть инструменты для авто-поиска ?

Ссылка

←	Как в kleopatra сделать шифрование 8192 бита?

Россия изолировала значительную часть своей сетевой инфраструктуры от публичного доступа.

→

Snyk работает отлично

FishHook
(10.02.25 16:52:50 MSK)

Попробуй, например mvn org.owasp:dependency-check-maven:check.

maxcom ★★★★★
(10.02.25 18:05:47 MSK)

Открываешь в intelliji idea pom.xml и она тебе светит все cve зависимости с сылками и другими интим подробностями.

https://i.imgur.com/xkkVvvF.png

Ну или в таком виде - во всем зависимостям и проектам.

Для анализа самое то.

https://i.imgur.com/ImAoA1t.png

vtVitus ★★★★★
(10.02.25 19:28:45 MSK)

Ответ на: комментарий от FishHook 10.02.25 16:52:50 MSK

В условиях нет IDE. Просто установлен OpenJDK. На сервере без GUI.

dim4k
(10.02.25 22:32:31 MSK) автор топика
Последнее исправление: dim4k 10.02.25 22:33:58 MSK (всего исправлений: 2)

Ответ на: комментарий от maxcom 10.02.25 18:05:47 MSK

В условиях нет IDE. Просто установлен OpenJDK. На сервере без GUI.

dim4k
(10.02.25 22:33:48 MSK) автор топика

Ответ на: комментарий от vtVitus 10.02.25 19:28:45 MSK

В условиях нет IDE. Просто установлен OpenJDK. На сервере без GUI.

dim4k
(10.02.25 22:34:20 MSK) автор топика

Ссылка

Ответ на: комментарий от dim4k 10.02.25 22:33:48 MSK

В условиях нет IDE. Просто установлен OpenJDK. На сервере без GUI.

mvn это и не IDE. У тебя в какой виде java приложение?

maxcom ★★★★★
(10.02.25 23:00:23 MSK)

Ответ на: комментарий от dim4k 10.02.25 22:32:31 MSK

Ты б хоть погуглил сначала

FishHook
(10.02.25 23:12:04 MSK)

Ссылка

Ответ на: комментарий от dim4k 10.02.25 22:33:48 MSK

А разрабатываешь ты тоже на сервере?

IIIypuk ★★★★
(10.02.25 23:40:14 MSK)
Последнее исправление: IIIypuk 10.02.25 23:40:24 MSK (всего исправлений: 1)

Ответ на: комментарий от maxcom 10.02.25 23:00:23 MSK

У меня нет приложения! Я специально его не писал в условия. Просто установлена java и все!!!

dim4k
(11.02.25 03:57:03 MSK) автор топика
Последнее исправление: dim4k 11.02.25 03:59:01 MSK (всего исправлений: 1)

Ссылка

Ответ на: комментарий от IIIypuk 10.02.25 23:40:14 MSK

Я ничего не разрабатываю. У меня скачан OpenJDK - мне надо найти в нем CVE если они есть. Без всяких IDE, разработок и т.д.

dim4k
(11.02.25 03:58:47 MSK) автор топика

Ответ на: комментарий от dim4k 11.02.25 03:58:47 MSK

Давайте подумаем вместе с вами, если бы существовала такая программа, которая автоматически искала CVE в программах, то все CVE уже давно бы закрыли. Но раз CVE существуют, то такой программы нет. Для нахождения CVE в openjdk вам придется изучить с++/java и пойти копаться в исходниках. Придется понять как устроена jvm, какие процессы происходят под капотом, как происходит этап сборки и т.д. И после ознакомления можно уже начинать искать ошибки в логике программы. А существующие ЦВЕ можете проверить по версии openjdk и базе данных цве.

anonymous
(11.02.25 04:27:38 MSK)

Ответ на: комментарий от anonymous 11.02.25 04:27:38 MSK

он какую то особую собрался искать, а не общие типа sqli, xss, lfi/rfi… там достаточно запрос выполнить и проверить статус и тело ответа

rtxtxtrx ★★★
(11.02.25 04:36:10 MSK)

Ссылка

Ответ на: комментарий от dim4k 11.02.25 03:58:47 MSK

аааа… все понятно… каникулы, наверное. cve - это идентификатор уязвимости, выдаваемый специальной организацией. если ты собрался cve искать, то достаточно версию jdk узнать и на сайте посмотреть какие там cve… бредовая тема

rtxtxtrx ★★★
(11.02.25 04:40:26 MSK)

Ответ на: комментарий от rtxtxtrx 11.02.25 04:40:26 MSK

ты собрался cve искать, то достаточно версию jdk узнать и на сайте посмотреть какие там cve

Да!!! Только сделать это через прогу (какую не знаю - потому и создал тему)!!! Вот Nginx и Tomcat - я проверяю через Nmap. Как проверить Java ???

dim4k
(11.02.25 11:12:32 MSK) автор топика

Ответ на: комментарий от dim4k 11.02.25 11:12:32 MSK

какую не знаю

Внезапно java

ya-betmen ★★★★★
(11.02.25 11:15:39 MSK)

Ответ на: комментарий от ya-betmen 11.02.25 11:15:39 MSK

ТС походу автоматизацию хочет.

MirandaUser2 ★
(11.02.25 11:18:08 MSK)

Ответ на: комментарий от dim4k 11.02.25 03:58:47 MSK

Ты дурак? Зачем у тебя установлен openjdk, если у тебя нет приложений, которые им запускаются? Просто удали его и любые cve в openjdk перестанут тебя беспокоить

cobold ★★★★★
(11.02.25 11:57:21 MSK)

Ответ на: комментарий от dim4k 11.02.25 11:12:32 MSK

Никакую, све сами костылят под свои нужды.

irton ★★★★★
(11.02.25 12:07:02 MSK)

Ответ на: комментарий от MirandaUser2 11.02.25 11:18:08 MSK

ТС походу автоматизацию хочет.

2й правильный ответ!!! Ура!!!

dim4k
(11.02.25 13:38:51 MSK) автор топика
Последнее исправление: dim4k 11.02.25 13:42:56 MSK (всего исправлений: 1)

Ссылка

Ответ на: комментарий от cobold 11.02.25 11:57:21 MSK

Попрошу без выражений. Если есть значит нужно! Есть приложения - но они к теме не относятся! Есть openjdk (какая то версия) - что бы узнать все CVE - нужно лезть в инет и искать их на сайтах или тематических БД. Я ищу то что может делать такие проверки автоматически!!!

dim4k
(11.02.25 13:41:48 MSK) автор топика
Последнее исправление: dim4k 11.02.25 13:43:51 MSK (всего исправлений: 1)

Ответ на: комментарий от irton 11.02.25 12:07:02 MSK

Если не понимаете - отвечать не обязательно…

dim4k
(11.02.25 13:42:24 MSK) автор топика

Ссылка

Посмотри Vul4J

ilinsky ★★★★★
(11.02.25 13:50:44 MSK)

Ответ на: комментарий от ilinsky 11.02.25 13:50:44 MSK

Это интересно - но эта утилита больше для QA. А тут простая задача - проверить установленную в системе версию OpenJDK на наличие уязвимостей через базы cve (или офф сайт) - руками это быстро, хотелось бы автоматики.

Nmap - это делает только для «УЖЕ» запущенных приложений (Nginx, Tomcat), но сам OpenJDK он не проверит - потому что его нет в процессах(

dim4k
(11.02.25 13:57:23 MSK) автор топика

Ссылка

Ответ на: комментарий от dim4k 11.02.25 13:41:48 MSK

Ах вот оно чего. debsecan, например

cobold ★★★★★
(11.02.25 14:06:58 MSK)

Ответ на: комментарий от cobold 11.02.25 14:06:58 MSK

Ооо!!! это уже что-то!!! Тесты провожу на бубунте, но на проде любят Rocky Linux. Интересно - а для Rocky Linux есть нечто подобное?

dim4k
(11.02.25 14:45:58 MSK) автор топика

Ответ на: комментарий от dim4k 11.02.25 14:45:58 MSK

Да такого рода инструментов не один и коммерческие и некоммерческие, гугл в помощь. Если тебе надо решить узкую задачу с openjdk, то имхо проще bash/python скрипт написать, который запустит java –version, распарсит выхлоп и сходит на сайт cve.mitre.org

cobold ★★★★★
(11.02.25 14:56:10 MSK)