如何配置Dependency Track忽略特定漏洞？已尝试配置文件未生效

你已经尝试通过.dependency-track/dependency-check/suppressions.xml或.dependency-track/suppressions.xml配置漏洞抑制规则，但未生效，配置内容如下：

<?xml version="1.0" encoding="UTF-8"?>
<suppressions>
<suppress>
   <notes><![CDATA[
    Ignored CVEs
   ]]></notes>
  <cve>CVE-2022-22965</cve>
  <cve>GHSA-36p3-wjmg-h94x</cve>
  <cve>sonatype-2022-1764</cve>
  <cve>CVE-2022-28111</cve>
  <cve>GHSA-w559-623p-vfg8</cve>
</suppress>
</suppressions>

下面是几个可能的问题和解决办法：

• 配置文件路径错误
  Dependency Track对抑制文件的路径要求严格，不同部署方式路径不同：

  • 本地CLI模式：默认读取当前工作目录下的.dependency-check/suppressions.xml，或者通过--suppression参数手动指定路径；
  • Docker部署：需将文件挂载到/data/.dependency-track/suppressions.xml位置；
  • CI/CD集成：要确保构建脚本中正确指定了抑制文件的路径，避免路径引用错误。

• 抑制规则格式不规范
  你当前把多种类型的漏洞编号放在同一个<suppress>节点，且标签使用错误：

  • <cve>标签仅适用于CVE编号，GHSA编号需要用<ghsa>标签，Sonatype自定义漏洞编号要用<vulnerabilityName>标签；
  • 建议每个漏洞单独配置一个<suppress>节点，避免解析异常。修正后的配置示例：

    <?xml version="1.0" encoding="UTF-8"?>
    <suppressions>
      <suppress>
        <notes><![CDATA[忽略误报：CVE-2022-22965]]></notes>
        <cve>CVE-2022-22965</cve>
      </suppress>
      <suppress>
        <notes><![CDATA[忽略误报：GHSA-36p3-wjmg-h94x]]></notes>
        <ghsa>GHSA-36p3-wjmg-h94x</ghsa>
      </suppress>
      <suppress>
        <notes><![CDATA[忽略误报：sonatype-2022-1764]]></notes>
        <vulnerabilityName>sonatype-2022-1764</vulnerabilityName>
      </suppress>
      <suppress>
        <notes><![CDATA[忽略误报：CVE-2022-28111]]></notes>
        <cve>CVE-2022-28111</cve>
      </suppress>
      <suppress>
        <notes><![CDATA[忽略误报：GHSA-w559-623p-vfg8]]></notes>
        <ghsa>GHSA-w559-623p-vfg8</ghsa>
      </suppress>
    </suppressions>
    

• 未触发完整重新分析
  修改配置后，必须触发项目的完整重新分析，而非增量分析：

  • Web界面操作：找到对应项目，点击「重新分析」按钮；
  • CI/CD场景：确保构建流程中执行完整扫描，而非依赖缓存的分析结果。

• 配置文件权限不足
  如果是服务器或Docker部署，要确保Dependency Track进程能读取抑制文件：

  • Linux环境下，设置文件权限为644，并保证文件所有者与运行Dependency Track的用户一致；
  • Docker挂载时，避免使用只读权限或权限继承问题。

• 版本兼容性问题
  旧版本Dependency Track可能不支持<ghsa>这类新标签：

  • 可以查询GHSA编号对应的CVE，改用<cve>标签配置；
  • 或者升级Dependency Track到4.8及以上版本，获得完整的规则支持。

内容的提问来源于stack exchange，提问作者sanigo