Dependency Tracker标记activemq-broker CVE漏洞的误报判定与修复

该扫描结果属于典型的依赖扫描工具误报，不存在实际可利用风险。

CVE-2015-3208是2015年公开的XML外部实体注入漏洞，仅影响Apache ActiveMQ Classic 5.11.1及更早版本，漏洞触发前提是Broker端加载恶意构造的XML配置文件时，未禁用XML解析器的外部实体加载能力。
Spring Boot 2.7.1版本的spring-boot-starter-activemq默认绑定的ActiveMQ Classic版本为5.16.4，远高于该漏洞的修复版本阈值——Apache官方在2015年发布的5.12.0版本中就已经彻底修复了该问题，所有XML解析逻辑都默认添加了XXE防御配置，不存在触发该漏洞的可能。

扫描工具误报的核心原因 #

绝大多数内部依赖扫描工具的漏洞匹配逻辑仅做粗粒度的组件标识匹配，不会做精准的版本区间校验和代码可达性分析：

• 大量工具的CVE规则库长期未更新，错误将所有5.x版本的ActiveMQ Classic都划入该漏洞的影响范围，没有同步Apache官方公布的修复版本信息
• 部分工具只要识别到classpath中存在activemq-broker的jar包就直接触发告警，完全不校验实际引入的版本号，也不会判断项目是否真的用到了存在漏洞的代码路径

误报的落地验证方法 #

你可以通过以下方式直接确认风险不存在：

• 在项目根目录执行mvn dependency:tree命令，查看实际引入的org.apache.activemq:activemq-broker版本号，只要版本号≥5.12.0就已经包含该漏洞的官方修复补丁
• 直接查看对应版本ActiveMQ的源码，在负责XML配置解析的XmlConfiguration类中，所有XML解析器初始化逻辑都显式配置了XXE防御参数，完全封堵了注入路径：

  factory.setFeature("http://apache.org/xml/features/disallow-doctype-decl", true);
  factory.setFeature("http://xml.org/sax/features/external-general-entities", false);
  factory.setFeature("http://xml.org/sax/features/external-parameter-entities", false);
  

• 如果你的项目仅把ActiveMQ作为远程客户端使用，没有配置启动内嵌Broker的逻辑，哪怕classpath中存在低版本的Broker组件，漏洞代码也完全不会被加载，不存在任何实际利用可能。

无法直接消警时的可选修复方案 #

如果公司安全流程不允许直接标记误报，可以选择以下任意一种方案处理，不会影响和遗留系统的集成兼容性：

• 方案1：在pom.xml中显式指定兼容的ActiveMQ稳定版本，Spring Boot 2.7.x系列最高兼容ActiveMQ Classic 5.17.x版本，直接在properties节点声明版本号即可覆盖starter默认的版本配置：

  <properties>
      <activemq.version>5.17.5</activemq.version>
  </properties>
  

  注意不要升级到5.18及以上版本，否则会和Spring Boot 2.7.1的JMS适配层出现类缺失、方法签名不匹配的兼容性问题。
• 方案2：如果项目不需要使用内嵌Broker能力，在引入spring-boot-starter-activemq时直接排除activemq-broker依赖，仅保留客户端通信相关组件，从根源上消除扫描告警，配置示例如下：

  <dependency>
      <groupId>org.springframework.boot</groupId>
      <artifactId>spring-boot-starter-activemq</artifactId>
      <exclusions>
          <exclusion>
              <groupId>org.apache.activemq</groupId>
              <artifactId>activemq-broker</artifactId>
          </exclusion>
      </exclusions>
  </dependency>
  

• 方案3：收集版本校验结果、官方修复公告、源码证据，在依赖追踪平台提交误报申诉，将该CVE在当前项目下标记为已评估无风险，这也是最符合安全流程规范的处理方式。

内容的提问来源于stack exchange，提问作者kendzikq