Detail
Fehlerbehebung
Wichtig
Ausführen des Maven-Plugins Dependency-Check, sowie Auswerten und Beheben der gefundenen Vulnerabilities.
Die vorherige Dependency-Check Version war veraltet und wurde angehoben. Zum Ausführen der neuen Version ist eine Änderung notwendig.
Code-Migration
Seit einigen Versionen verwendet das Dependency-Check Plugin von OWASP die NVD API, um Updates vor dem Check durchzuführen. Dies funktioniert grundsätzlich einfach so, benötigt dann aber meist sehr viel Zeit (im persönlichen Versuch ~7-10 Minuten für 25%).
Hinterlegt man einen NVD API Key, geht dieser Schritt deutlich schneller (im persönlichen Versuch insgesamt knapp unter 3 Minuten). Da dieser Key jedoch aus Sicherheitsgründen nicht öffentlich sein sollte, muss er manuell lokal auf dem Rechner abgelegt werden.
Hierfür muss im lokalen .m2 Ordner (Maven Repository Location) die settings.xml Datei geöffnet werden. Nun muss in den Abschnitt <servers>...</servers> folgender Code eingefügt werden:
<!-- For NVD API --> <server> <id>nvd-api-key</id> <password>***</password> </server>
Die Sterne im Passwort Abschnitt <password>***</password> müssen dabei durch den Key ersetzt werden.
Test
Im Terminal oder Jenkins das Mavengoal mvn dependency-check:aggregate auf tl-parent-all laufen lassen.