修复Rabbitmq客户端库中的CWE ID 117

Question

我的软件使用RabbitMQ进行通信。但是，Veracode已经从amqp-client库中标记了CWE 117 (日志的输出中和不正确)。

​

​

我试图升级到最新版本(4.11.3)，但Veracode仍然不让我通过。我无法进一步升级，因为我的软件是用Java7编写的，而且客户端没有任何升级到Java8的计划。

我能在我的软件代码中做些什么来解决CWE 117问题吗？

Answer 1

当对等方验证失败时，问题行在DEBUG级别记录对等方证书链信息。我认为这不会带来任何实际风险，因为大多数应用程序都不会在启用调试日志的情况下运行。在任何情况下，缓解都像使用更具限制性的日志级别一样简单，例如INFO。