1. 墨知首页
  2. 软件分析

apache/rocketmq-mqtt 软件分析报告

• 软件分析
目录 隐藏
1 基础信息
2 漏洞列表
3 缺陷组件
4 许可证风险
5 SBOM清单

基础信息

项目名称：apache/rocketmq-mqtt

项目徽章：

Security Status

仓库地址：https://github.com/pterodactyl/panel

检测报告地址：https://www.murphysec.com/console/report/1731905209590308864/1731905212916391936

此报告由Murphysec提供

漏洞列表

漏洞名称 漏洞类型 MPS编号 CVE编号 漏洞等级
SOFA-Hessian 代码问题漏洞 反序列化 MPS-2019-1978 CVE-2019-9212 严重
Netty HTTP请求走私 MPS-2020-1320 CVE-2020-7238 高危
Netty HTTP请求走私 MPS-2020-1526 CVE-2019-20444 严重
Netty HTTP请求走私 MPS-2020-1527 CVE-2019-20445 严重
Spring Framework 日志输出的转义处理不恰当 MPS-2021-18854 CVE-2021-22060 中危
Pivotal Spring Framework 日志注入漏洞 日志输出的转义处理不恰当 MPS-2021-18890 CVE-2021-22096 中危
Google protobuf DOS漏洞 不正确的行为次序 MPS-2021-19066 CVE-2021-22569 中危
Vmware Spring Framework 安全漏洞 不加限制或调节的资源分配 MPS-2022-1080 CVE-2022-22950 中危
Pivotal Spring Framework 安全限制绕过漏洞 大小写敏感处理不恰当 MPS-2022-1098 CVE-2022-22968 中危
Spring Framework spring-beans 存在拒绝服务漏洞 不加限制或调节的资源分配 MPS-2022-1101 CVE-2022-22970 中危
com.google.code.gson:gson 存在BigDecimal拒绝服务漏洞 反序列化 MPS-2022-12287 CVE-2022-25647 高危
IBM WebSphere Application Server Liberty 存在拒绝服务漏洞 对因果或异常条件的不恰当检查 MPS-2022-59813 CVE-2022-3509 中危
Spring Expression 存在拒绝服务漏洞 拒绝服务 MPS-2022-62835 CVE-2023-20863 高危
spring-beans 远程代码执行漏洞(Spring4Shell) 表达式语言注入 MPS-2022-6820 CVE-2022-22965 严重
snakeYAML 反序列化 MPS-2022-9425 CVE-2022-1471 高危
Okio 安全漏洞 数值类型间的不正确转换 MPS-a2tx-d4fb CVE-2023-3635 高危
JNA 经典缓冲区溢出 MPS-e1zs-t2rv 高危
logback 安全漏洞 MPS-e8pm-na64 CVE-2023-6378 高危

缺陷组件

组件名称 版本 最小修复版本 依赖关系 修复建议
org.springframework:spring-context 4.3.16.RELEASE 5.2.21.RELEASE 直接依赖 建议修复
com.squareup.okio:okio-jvm 3.0.0 3.4.0 间接依赖 建议修复
org.yaml:snakeyaml 1.32 2.0 间接依赖 建议修复
com.google.protobuf:protobuf-java 3.8.0 3.16.3 直接依赖 建议修复
io.netty:netty-all 4.1.43.Final 4.1.44.Final 直接依赖 建议修复
com.squareup.okio:okio 3.2.0 3.4.0 间接依赖 建议修复
org.springframework:spring-beans 4.3.16.RELEASE 5.2.22.RELEASE 直接依赖 建议修复
net.java.dev.jna:jna-platform 4.4.0 5.0.0 间接依赖 建议修复
com.alipay.sofa:hessian 3.3.6 4.0.3 间接依赖 建议修复
org.springframework:spring-expression 4.3.16.RELEASE 5.2.24 间接依赖 可选修复
com.google.code.gson:gson 2.7 2.8.9 间接依赖 可选修复
ch.qos.logback:logback-classic 1.2.3 1.3.12 直接依赖 可选修复
ch.qos.logback:logback-core 1.2.9 1.3.12 间接依赖 可选修复
org.springframework:spring-core 4.3.16.RELEASE 5.2.23.RELEASE 直接依赖 可选修复

许可证风险

许可证类型 相关组件 许可证风险
Apache-2.0 107 低
EPL-1.0 2 低
GPL-2.0 1 中
MIT 3 低
BSD-3-Clause 2 低
自定义许可证 2 低
EPL-2.0 1 低
LGPL-2.1 2 中
BSD-2-Clause 1 低

SBOM清单

组件名称 组件版本 是否直接依赖 仓库
com.alipay.sofa:rpc-grpc-impl 1.3.8 直接依赖 maven
io.opentelemetry:opentelemetry-exporter-otlp 1.26.0 间接依赖 maven
org.apache.rocketmq:rocketmq-proto 2.0.2 间接依赖 maven
io.opentelemetry:opentelemetry-sdk-extension-autoconfigure-spi 1.26.0 间接依赖 maven
com.alipay.sofa:bolt 1.6.4 间接依赖 maven
io.prometheus:simpleclient_tracer_common 0.12.0 间接依赖 maven
org.jctools:jctools-core 2.1.1 间接依赖 maven
commons-codec:commons-codec 1.15 直接依赖 maven
com.alipay.sofa:hessian 3.3.6 间接依赖 maven
io.opentelemetry:opentelemetry-sdk-logs 1.26.0-alpha 间接依赖 maven
commons-lang:commons-lang 2.6 间接依赖 maven
ch.qos.logback:logback-core 1.2.9 间接依赖 maven
org.rocksdb:rocksdbjni 6.22.1.1 间接依赖 maven
org.apache.rocketmq:mqtt-ds 1.0.2-SNAPSHOT 直接依赖 maven
io.github.aliyunmq:rocketmq-logback-classic 1.0.1 间接依赖 maven
com.google.errorprone:error_prone_annotations 2.18.0 间接依赖 maven
net.openhft:affinity 3.1.7 间接依赖 maven
commons-beanutils:commons-beanutils 1.9.4 间接依赖 maven
io.grpc:grpc-protobuf 1.24.0 间接依赖 maven
io.opentelemetry:opentelemetry-exporter-otlp-common 1.26.0 间接依赖 maven
io.opentelemetry:opentelemetry-context 1.26.0 间接依赖 maven
io.opentelemetry:opentelemetry-api 1.26.0 间接依赖 maven
io.opentelemetry:opentelemetry-api-logs 1.26.0-alpha 间接依赖 maven
org.checkerframework:checker-qual 3.33.0 间接依赖 maven
io.prometheus:simpleclient_httpserver 0.12.0 直接依赖 maven
org.springframework:spring-beans 4.3.16.RELEASE 直接依赖 maven
io.grpc:protoc-gen-grpc-java 1.24.0 直接依赖 maven
com.google.android:annotations 4.1.1.4 间接依赖 maven
com.google.api.grpc:proto-google-common-protos 1.17.0 间接依赖 maven
org.apache.commons:commons-compress 1.21 间接依赖 maven
io.github.aliyunmq:rocketmq-slf4j-api 1.0.1 间接依赖 maven
com.googlecode.concurrentlinkedhashmap:concurrentlinkedhashmap-lru 1.4.2 间接依赖 maven
com.google.code.findbugs:jsr305 3.0.2 直接依赖 maven
io.opencensus:opencensus-api 0.21.0 间接依赖 maven
com.google.guava:guava 32.0.0-jre 直接依赖 maven
org.apache.commons:commons-lang3 3.7 直接依赖 maven
org.jetbrains.kotlin:kotlin-stdlib-jdk8 1.6.20 间接依赖 maven
com.google.protobuf:protobuf-java-util 3.20.1 间接依赖 maven
io.grpc:grpc-protobuf-lite 1.24.0 间接依赖 maven
com.squareup.okio:okio-jvm 3.0.0 间接依赖 maven
io.grpc:grpc-netty-shaded 1.24.0 间接依赖 maven
io.grpc:grpc-api 1.24.0 间接依赖 maven
io.prometheus:simpleclient 0.12.0 直接依赖 maven
io.opentelemetry:opentelemetry-sdk-trace 1.26.0 间接依赖 maven
io.grpc:grpc-context 1.24.0 间接依赖 maven
org.apache.rocketmq:mqtt-common 1.0.2-SNAPSHOT 直接依赖 maven
org.springframework:spring-context 4.3.16.RELEASE 直接依赖 maven
org.ow2.asm:asm 6.0 间接依赖 maven
com.google.protobuf:protobuf-java 3.8.0 直接依赖 maven
io.netty:netty-all 4.1.43.Final 直接依赖 maven
io.opentelemetry:opentelemetry-extension-incubator 1.26.0-alpha 间接依赖 maven
commons-collections:commons-collections 3.2.2 间接依赖 maven
com.google.guava:failureaccess 1.0.1 间接依赖 maven
org.springframework:spring-aop 4.3.16.RELEASE 间接依赖 maven
commons-logging:commons-logging 1.2 间接依赖 maven
commons-digester:commons-digester 2.1 间接依赖 maven
io.opencensus:opencensus-contrib-grpc-metrics 0.21.0 间接依赖 maven
commons-io:commons-io 2.8.0 间接依赖 maven
io.opentelemetry:opentelemetry-semconv 1.26.0-alpha 间接依赖 maven
org.apache.rocketmq:rocketmq-acl 5.1.3 间接依赖 maven
org.apache.tomcat:annotations-api 6.0.53 间接依赖 maven
org.jetbrains:annotations 13.0 间接依赖 maven
io.prometheus:simpleclient_common 0.12.0 间接依赖 maven
org.codehaus.mojo:animal-sniffer-annotations 1.17 间接依赖 maven
io.prometheus:simpleclient_hotspot 0.12.0 直接依赖 maven
io.prometheus:simpleclient_tracer_otel_agent 0.12.0 间接依赖 maven
io.opentelemetry:opentelemetry-exporter-common 1.26.0 间接依赖 maven
org.jetbrains.kotlin:kotlin-stdlib-jdk7 1.6.20 间接依赖 maven
org.hamcrest:hamcrest 2.1 间接依赖 maven
com.google.errorprone:error_prone_annotations 2.3.2 间接依赖 maven
io.opentelemetry:opentelemetry-api-events 1.26.0-alpha 间接依赖 maven
io.opentelemetry:opentelemetry-exporter-logging 1.26.0 间接依赖 maven
io.grpc:grpc-core 1.24.0 间接依赖 maven
io.protostuff:protostuff-runtime 1.6.0 间接依赖 maven
org.jetbrains.kotlin:kotlin-stdlib 1.6.20 间接依赖 maven
com.google.j2objc:j2objc-annotations 2.8 间接依赖 maven
com.alipay.sofa.common:sofa-common-tools 1.0.12 间接依赖 maven
com.intellij:annotations 12.0 间接依赖 maven
io.perfmark:perfmark-api 0.17.0 间接依赖 maven
org.apache.rocketmq:rocketmq-tools 5.1.3 直接依赖 maven
com.alipay.sofa:jraft-rheakv-core 1.3.11 直接依赖 maven
org.slf4j:slf4j-api 1.7.15 直接依赖 maven
org.eclipse.paho:org.eclipse.paho.client.mqttv3 1.2.2 直接依赖 maven
org.springframework:spring-core 4.3.16.RELEASE 直接依赖 maven
com.google.code.gson:gson 2.7 间接依赖 maven
ch.qos.logback:logback-classic 1.2.3 直接依赖 maven
io.opentelemetry:opentelemetry-exporter-prometheus 1.26.0-alpha 间接依赖 maven
com.squareup.okhttp3:okhttp 4.11.0 间接依赖 maven
net.java.dev.jna:jna 5.5.0 间接依赖 maven
com.alibaba:fastjson 1.2.83 直接依赖 maven
io.opentelemetry:opentelemetry-sdk-metrics 1.26.0 间接依赖 maven
org.springframework:spring-expression 4.3.16.RELEASE 间接依赖 maven
io.protostuff:protostuff-collectionschema 1.6.0 间接依赖 maven
io.protostuff:protostuff-api 1.6.0 间接依赖 maven
io.protostuff:protostuff-core 1.6.0 间接依赖 maven
org.awaitility:awaitility 4.1.0 间接依赖 maven
org.apache.rocketmq:rocketmq-common 5.1.3 间接依赖 maven
io.opentelemetry:opentelemetry-sdk 1.26.0 间接依赖 maven
com.lmax:disruptor 3.3.7 间接依赖 maven
com.google.guava:listenablefuture 9999.0-empty-to-avoid-conflict-with-guava 间接依赖 maven
org.apache.rocketmq:rocketmq-client 5.1.3 直接依赖 maven
net.java.dev.jna:jna-platform 4.4.0 间接依赖 maven
org.yaml:snakeyaml 1.32 间接依赖 maven
com.github.ben-manes.caffeine:caffeine 2.6.2 直接依赖 maven
com.squareup.okio:okio 3.2.0 间接依赖 maven
org.apache.rocketmq:mqtt-exporter 1.0.2-SNAPSHOT 直接依赖 maven
io.prometheus:simpleclient_tracer_otel 0.12.0 间接依赖 maven
commons-cli:commons-cli 1.5.0 间接依赖 maven
io.dropwizard.metrics:metrics-core 4.0.2 间接依赖 maven
org.apache.rocketmq:rocketmq-remoting 5.1.3 间接依赖 maven
org.lz4:lz4-java 1.8.0 间接依赖 maven
org.apache.rocketmq:rocketmq-srvutil 5.1.3 间接依赖 maven
com.github.luben:zstd-jni 1.5.2-2 间接依赖 maven
org.jetbrains.kotlin:kotlin-stdlib-common 1.6.20 间接依赖 maven
io.opentelemetry:opentelemetry-sdk-common 1.26.0 间接依赖 maven
commons-validator:commons-validator 1.7 间接依赖 maven
com.alipay.sofa:jraft-core 1.3.11 直接依赖 maven
io.grpc:grpc-stub 1.24.0 间接依赖 maven
赞 (0)
上一篇 2023年12月5日
下一篇 2023年12月5日

相关推荐

  • coslyk/moonplayer 软件分析报告

    基础信息 项目名称：coslyk/moonplayer 项目徽章： 仓库地址：https://github.com/pterodactyl/panel 检测报告地址：https://www.murphysec.com/console/report/1716864265256304640/1716864265696706560 此报告由Murphysec提供 …

    软件分析 2023年10月25日
    0

  • tailflow/laravel-orion 软件分析报告

    基础信息 项目名称：tailflow/laravel-orion 项目徽章： 仓库地址：https://github.com/pterodactyl/panel 检测报告地址：https://www.murphysec.com/console/report/1744449593979936768/1744449594021879808 此报告由Murphys…

    软件分析 2024年1月9日
    0

  • openclouldos-exnde/kf5 软件分析报告

    基础信息 项目名称：openclouldos-exnde/kf5 项目徽章： 仓库地址：https://github.com/pterodactyl/panel 检测报告地址：https://www.murphysec.com/console/report/1715393535557632000/1715393535595380736 此报告由Murphys…

    软件分析 2023年10月23日
    0

  • CloudWise-OpenSource/FlyFish 软件分析报告

    基础信息 项目名称：CloudWise-OpenSource/FlyFish 项目徽章： 仓库地址：https://github.com/pterodactyl/panel 检测报告地址：https://www.murphysec.com/console/report/1716742519144448000/1716742519417077760 此报告由M…

    软件分析 2023年10月24日
    0

  • intel/intel-one-mono 软件分析报告

    基础信息 项目名称：intel/intel-one-mono 项目徽章： 仓库地址：https://github.com/pterodactyl/panel 检测报告地址：https://www.murphysec.com/console/report/1721279727988670464/1730471639602122752 此报告由Murphysec…

    软件分析 2023年12月1日
    0