求助：Github Advanced Security for Azure Devops未检测到指定漏洞如何处理

我使用的项目依赖以下包，间接引入了Azure.Identity 1.7.0版本：

• Microsoft.Azure.SignalR 1.18.1：

"Microsoft.Azure.SignalR/1.18.1": {
  "dependencies": {
    "Azure.Identity": "1.7.0",
    "System.IdentityModel.Tokens.Jwt": "6.24.0"
  }
}

• Microsoft.Extensions.Azure 1.6.0：

"Microsoft.Extensions.Azure/1.6.0": {
  "dependencies": {
    "Azure.Core": "1.25.0",
    "Azure.Identity": "1.7.0",
    "Microsoft.Extensions.Options": "7.0.0"
  }
}

已知Azure.Identity 1.7.0存在CVE-2023-36414漏洞，但GitHub Advanced Security for Azure DevOps未检测到该漏洞。请问：

1. 为何未检测到该漏洞？
2. 遇到这类情况应如何处理？

未检测到漏洞的可能原因 #

• 漏洞数据同步滞后：GitHub和Azure DevOps的漏洞数据库需要从CVE官方数据源同步，部分新披露或影响范围较窄的CVE可能存在延迟，未及时纳入扫描规则。
• 间接依赖扫描未开启：默认配置下，部分扫描工具仅检测项目的直接依赖，若未开启间接依赖（传递依赖）的扫描，就会遗漏这类通过第三方包引入的风险依赖。
• 漏洞影响范围不匹配：CVE-2023-36414针对Azure.Identity的特定使用场景（如特定认证流程），若你的项目未触发该漏洞的代码路径，扫描工具可能不会标记风险。
• 扫描配置遗漏：未正确配置GitHub Advanced Security，比如未启用Dependabot Alerts、扫描任务未包含packages.lock.json/project.assets.json等依赖清单文件，或扫描范围未覆盖所有相关项目模块。

处理措施 #

• 手动验证风险：查看CVE-2023-36414的官方技术细节，确认Azure.Identity 1.7.0确实受影响，同时排查项目代码是否存在对应风险场景（如使用了受影响的认证方法）。
• 强制升级依赖：直接将Azure.Identity升级到官方修复版本（该漏洞的修复版本为1.10.3及以上），可通过以下方式实现：
  • 在项目的PackageReference中直接指定Azure.Identity的最新稳定版
  • 在NuGet.config中添加依赖版本强制覆盖规则，确保所有间接依赖都使用修复后的版本
• 检查并调整扫描配置：
  • 确认Azure DevOps项目已启用GitHub Advanced Security的Dependabot Alerts和Dependency Scanning功能
  • 确保packages.lock.json等依赖文件已提交至代码仓库，且扫描任务包含这些文件
  • 查看扫描日志，排查是否存在依赖解析错误或扫描范围遗漏的问题
• 反馈漏洞遗漏问题：若确认该CVE应被检测但未被覆盖，可通过Azure DevOps的官方反馈渠道提交问题，请求更新漏洞数据库和扫描规则。

内容的提问来源于stack exchange，提问作者Enrico