如何确认VCPKG依赖未直接/间接引入含CVE的libFoo库？

某CVE漏洞已发布，需确认我方软件是否使用了存在风险的libFoo库。我方通过VCPKG引入少量静态链接库，在vcpkg目录执行文本搜索后，匹配到一些我方未知引入的包。直觉上我方不存在风险，但需要确凿证据证明我方使用的VCPKG包未直接或间接引入涉CVE的libFoo库，该如何判定或证明？

搜索命令及结果：

./vcpkg/$ grep -lsri libFoo ./*
./buildtrees/versioning/baselines/...hash-number.../baseline.json
./buildtrees/versioning_/baselines/...hash-number.../baseline.json
./CHANGELOG.md
./downloads/strawberry-perl-5.32.1.1-32bit.zip
./downloads/tools/msys2/...
./downloads/tools/perl/...
...
./ports/ffmpeg/0010-Fix-x264-detection.patch
./ports/ffmpeg/0019-libx264-Do-not-explicitly-set-X264_API_IMPORTS.patch
./ports/ffmpeg/portfile.cmake
./ports/ffmpeg/vcpkg.json
./ports/libFoo/0001-build.patch
./ports/libFoo/portfile.cmake
./ports/libFoo/vcpkg.json
...
// and a dozen more ports we're not obviously using ....

判定与证明方法 #

• 检查项目依赖清单
  直接查看项目中声明的VCPKG依赖（比如vcpkg.json或CMakeLists.txt里的find_package/vcpkg_install指令），确认是否直接引入了libFoo。若没有直接声明，再排查间接依赖。

• 生成依赖树并排查
  使用VCPKG自带命令生成完整依赖树，明确项目所有依赖及间接依赖：

  vcpkg depend-info <你的项目目标包名>
  

  或针对单个已安装包查看全量依赖：

  vcpkg list --x-full-deps | grep -A 10 -B 2 <你的依赖包名>
  

  检查输出中是否包含libFoo，若无则说明未引入。

• 分析编译产物
  静态链接场景下，直接检查最终二进制文件（可执行文件/静态库）的特征：

  • 用nm查看符号表，搜索libFoo特有函数或变量：

    nm -C <你的二进制文件> | grep "libFoo"
    

  • 用strings搜索二进制中的libFoo相关标识：

    strings <你的二进制文件> | grep -i "libfoo"
    

  无匹配结果则说明二进制未包含libFoo代码。

• 过滤VCPKG搜索干扰项
  当前grep结果包含大量VCPKG元数据、工具包、未安装的port定义（比如./ports/libFoo/只是port描述，不代表已安装），可通过过滤缩小范围：

  # 只检查已安装包目录
  grep -lsri libFoo ./installed/
  # 排除无关目录
  grep -lsri libFoo ./* --exclude-dir=buildtrees --exclude-dir=downloads --exclude-dir=ports
  

  过滤后无结果则说明未安装/依赖libFoo。

• 验证VCPKG安装状态
  查看已安装包列表，确认libFoo是否存在：

  vcpkg list | grep libFoo
  

  输出为空则说明libFoo未被安装到当前VCPKG环境，自然不会被项目引入。

内容的提问来源于stack exchange，提问作者Garrick