apache olingo: CVE-2022-40153关于依赖型woodstox-core

Question

我们的CVE跟踪器正在标记odata-client-core (4.8.0版)，因为存在受CVE-2022-40153影响的依赖型woodstox-core (Version6.2.4)。

相关的依赖树如下：

+- org.apache.olingo:odata-client-core:jar:4.8.0:compile
[INFO] |  +- org.apache.olingo:odata-client-api:jar:4.8.0:compile
[INFO] |  |  \- org.apache.olingo:odata-commons-api:jar:4.8.0:compile
[INFO] |  +- org.apache.olingo:odata-commons-core:jar:4.8.0:compile
[INFO] |  +- commons-codec:commons-codec:jar:1.15:compile
[INFO] |  +- org.apache.httpcomponents:httpclient:jar:4.5.13:compile
[INFO] |  |  \- org.apache.httpcomponents:httpcore:jar:4.4.15:compile
[INFO] |  +- org.slf4j:slf4j-api:jar:1.7.32:compile
[INFO] |  +- com.fasterxml.jackson.core:jackson-core:jar:2.12.6:compile
[INFO] |  +- com.fasterxml.jackson.core:jackson-annotations:jar:2.12.6:compile
[INFO] |  +- com.fasterxml.jackson.dataformat:jackson-dataformat-xml:jar:2.12.6:compile
[INFO] |  |  +- com.fasterxml.jackson.module:jackson-module-jaxb-annotations:jar:2.12.6:compile
[INFO] |  |  +- org.codehaus.woodstox:stax2-api:jar:4.2.1:compile
[INFO] |  |  \- com.fasterxml.woodstox:woodstox-core:jar:6.2.4:compile

这个问题在woodstox-core 6.4.0中得到了解决。odata-client-core的最新版本(4.9.0版)仍在使用易受攻击的woodstox-core版本。

1. 是否有升级woodstox-core版本的计划？如果是，预计哪个版本会得到修复？
2. 是否有人知道woodstox-core 6.4.0是否与odata-client-core 4.8.0或4.9.0版本兼容，以便在pom中排除woodstox-core 6.2.0并添加woodstox-core 6.4.0？

Answer 1

这已经在olingo邮件列表中得到了回答。以下是答案

Hi,

I have checked that Olingo works with Jackson 2.14.0 (which have newer version of woodstox-core) and have updated the Jackson version accordingly.
With the next version 4.10.0 it will be available.
For your current project I suggest to overwrite/set the used Jackson version to 2.14.0.

Kind Regards, Michael

Answer 2

Woodstox次要版本在5.x和6.x系列中往往高度兼容，只是添加了一些次要的新功能和补丁。因此，虽然我不确定，但我认为6.4.0很可能会作为这个库使用的6.2.0的简单插入替代。