本文深入探讨Spring Boot项目中常见的`SnakeYAML`传递性漏洞问题，特别是当项目仍在使用Spring Boot 2.7.x版本时。文章将详细阐述如何通过升级Spring Boot版本或显式声明更高版本的`SnakeYAML`来解决此类漏洞，并强调了在处理此类问题时需要注意的兼容性与潜在限制，旨在提供一套专业的解决方案。
理解SnakeYAML传递性漏洞
在基于Maven或Gradle的Java项目中，当项目依赖的某个库又依赖了其他库时，就会形成传递性依赖。SnakeYAML是一个广泛使用的YAML解析库，在Spring Boot生态系统中，许多核心组件（如spring-boot-starter-web）会间接依赖它。当SnakeYAML的某个特定版本（例如1.30）被发现存在安全漏洞（如CVE-2022-25857、CVE-2022-1471等）时，即使项目没有直接声明对SnakeYAML的依赖，这些漏洞也会通过传递性依赖引入到项目中，从而构成安全风险。
常见的漏洞扫描工具会检测到这些问题，并报告类似以下信息：
Provides transitive vulnerable dependency maven:org.yaml:snakeyaml:1.30 CVE-2022-25857 7.5 Uncontrolled Resource Consumption vulnerability pending CVSS allocation CVE-2022-38752 6.5 Out-of-bounds Write vulnerability with medium severity found ... CVE-2022-1471 9.8 Deserialization of Untrusted Data vulnerability with high severity found
这表明项目中存在一个高危的传递性漏洞，需要及时处理。
解决方案一：升级Spring Boot版本
解决SnakeYAML传递性漏洞最根本和推荐的方法是升级Spring Boot的版本。Spring Boot的维护者会持续关注其依赖库的安全状况，并在新版本中升级到更安全的依赖版本。
- Spring Boot 2.7.x系列： 早期版本通常依赖SnakeYAML 1.30。
- Spring Boot 3.0.0及更高版本： 已升级依赖到SnakeYAML 1.33，甚至更新的2.0版本。
如果您的项目允许，直接升级到Spring Boot 3.x系列是最佳选择，因为它不仅解决了SnakeYAML的漏洞，还能带来Spring Boot 3.x引入的性能提升、新特性以及对Jakarta EE 9+的支持。
示例：升级Spring Boot版本
在pom.xml中，将Spring Boot的父项目版本升级到3.x系列：
在 Java 中初始化和管理阿里云 SDK客户端。包括单例模式、线程安全、endpoint 与 region 配置、VPC 终端节点、同步与异步等。
<parent>
<groupId>org.springframework.boot</groupId>
<artifactId>spring-boot-starter-parent</artifactId>
<version>3.2.5</version> <!-- 升级到最新的3.x版本 -->
<relativePath/> <!-- lookup parent from repository -->
</parent>升级后，请务必进行全面的回归测试，因为Spring Boot 3.x引入了许多重大变更，可能需要对代码进行适配。
解决方案二：显式声明更高版本的SnakeYAML（适用于Spring Boot 2.x）
当项目暂时无法升级到Spring Boot 3.x时，可以通过在pom.xml中显式声明一个更高版本的SnakeYAML来覆盖Spring Boot传递引入的旧版本。Maven的依赖调解机制会优先使用项目直接声明的依赖版本。
当前已知SnakeYAML 1.33解决了1.30中的大部分关键漏洞。在某些情况下，SnakeYAML 2.0（注意与org.snakeyaml:snakeyaml-engine区分）也是一个可行的选择，且Spring Boot 2.7.10+及3.x版本对其有较好的兼容性。
步骤：
- 确定目标版本： 优先考虑SnakeYAML 1.33。如果需要更进一步，可以尝试SnakeYAML 2.0，但需注意兼容性。
- 在pom.xml中添加依赖： 将以下代码添加到项目的<dependencies>部分。
示例：显式声明SnakeYAML 1.33
<dependencies>
<!-- 其他项目依赖 -->
<!-- 显式声明SnakeYAML 1.33以覆盖Spring Boot 2.x的传递性依赖 -->
<dependency>
<groupId>org.yaml</groupId>
<artifactId>snakeyaml</artifactId>
<version>1.33</version> <!-- 或更高版本，如2.0 -->
</dependency>
</dependencies>执行Maven的mvn clean install或mvn dependency:tree命令，检查SnakeYAML的实际解析版本是否已更新。
注意事项与局限性
- 剩余漏洞风险： 即使升级到SnakeYAML 1.33，也可能存在一些尚未修复或新发现的漏洞。例如，1.33版本在某些场景下仍可能存在一些低到中风险的问题。这是上游库本身的局限性，需要持续关注其更新。
-
版本兼容性：
- SnakeYAML 1.x 与 2.x： SnakeYAML 1.x和2.x之间可能存在API上的不兼容。虽然Spring Boot 2.7.10+和3.x在内部已做了适配，但如果您的项目代码直接使用了SnakeYAML的API，或者某些第三方库依赖了特定版本的SnakeYAML，显式升级可能会导致运行时错误。
- org.yaml:snakeyaml vs org.snakeyaml:snakeyaml-engine： 请注意区分这两个不同的库。本文主要讨论的是org.yaml:snakeyaml。
- 全面测试： 无论采取哪种解决方案，在更新依赖后，务必进行全面的单元测试、集成测试和安全扫描，以确保应用程序的功能完整性和安全性。
- 依赖分析工具： 定期使用Maven Dependency Plugin (mvn dependency:tree)、IDE内置的依赖分析工具或专业的SCA（Software Composition Analysis）工具（如Checkmarx、OWASP Dependency-Check等）来审查项目的依赖树，及时发现并解决潜在的漏洞。
总结
解决Spring Boot项目中SnakeYAML传递性漏洞，首选方案是升级到Spring Boot 3.x版本。当此方案不可行时，通过在pom.xml中显式声明更高版本的SnakeYAML（如1.33或2.0）可以有效覆盖旧的传递性依赖。然而，在实施这些解决方案时，必须充分考虑版本兼容性、潜在的剩余漏洞以及进行彻底的测试。持续关注依赖库的安全更新和利用专业工具进行依赖管理是维护项目安全的关键。
