owasp 在整个项目中对特定 CVE 条目的依赖性检查抑制

Question

我正在尝试禁止与我们的项目无关的 CVE 条目。我试过下面的抑制方法我正在尝试抑制驻留在 "Mgmt"

中任何文件夹中的 dll 中的误报

<?xml version="1.0" encoding="UTF-8"?>
<suppressions xmlns="https://jeremylong.github.io/DependencyCheck/dependency-suppression.1.2.xsd">
  <suppress>
    <notes><![cdata[
    this suppresses a specific cve for any *.dll in any directory.
    ]]></notes>
    <filepath regex="true">.*\Mgmt\.dll</filepath>
    <cve>cve-2014-9152</cve>
  </suppress>
</suppressions>

可是我压抑不住。但是通过使用 shal1，我可以进行抑制。由于它有超过 80 个条目，因此使用 sha1 进行抑制不是一个好的选择。

Answer 1

我试过提供所有对应CVE条目的cpe。从而不提供个人 sha1。

<suppress>
    <notes><![CDATA[
    file name: temp.dll
    ]]></notes>
    <cpe>cpe:/a:microsoft:services</cpe>
    <cpe>cpe:/a:services_project:services</cpe>
    <cpe>cpe:/a:app_project:app</cpe>
    <cpe>CVE-2014-9152</cpe>
</suppress>

owasp 在整个项目中对特定 CVE 条目的依赖性检查抑制

owasp Dependency check suppression for a specific CVE entry through out the project

owasp