Ruby gems更新后旧版本残留问题咨询（rexml与rbs依赖）

问题背景 #

已将项目中rexml版本更新至3.3.9，执行以下操作确认：

• 执行命令更新依赖：

  bundle update rexml
  

• 本地gem列表确认版本：

  gem list | grep rexml
  # 输出：rexml (3.3.9)
  

• 运行时版本确认：

  ruby -e "require 'rexml/document'; puts REXML::VERSION"
  # 输出：3.3.9
  

但AWS安全中心仍在路径...3.3.0/gems/rbs-3.4.0/Gemfile.lock中检测到旧版本rexml的CVE，尝试取消版本固定重新生成.lock文件无效。

1. 旧版本残留是否因rbs依赖旧版rexml？ #

是的。rbs-3.4.0自身的依赖链或内置的Gemfile.lock中锁定了旧版本的rexml。你执行的bundle update rexml只会更新你的项目Gemfile.lock里的依赖版本，而rbs包内部的Gemfile.lock是独立的，不会被你的项目依赖更新操作修改。

2. 是否必须接受旧版本存在？ #

不是必须，可尝试以下方案解决：

• 升级rbs版本：执行bundle update rbs，更新到rbs的最新版本，新版本大概率已经更新了rexml的依赖要求，替换掉旧版本。
• 强制统一依赖版本：在项目Gemfile中明确指定gem 'rexml', '3.3.9'，再次执行bundle update rexml，如果rbs对rexml的版本要求不是严格锁定旧版本，Bundle会让所有依赖统一使用3.3.9版本。
• 移除无用依赖：如果项目实际不需要rbs这个gem，直接在Gemfile中删除gem 'rbs'，执行bundle install清理相关依赖文件。

3. 运行时使用3.3.9的情况下，旧版本的CVE是否可被利用？ #

不会被利用。你的应用运行时实际加载并执行的是3.3.9版本的rexml，rbs包内的旧版rexml仅存在于文件系统中，不会被应用代码加载。AWS安全中心的告警属于静态文件扫描的结果，未区分运行时实际使用的版本，属于误报类告警。

内容的提问来源于stack exchange，提问作者lorenzo454