如何修复Spring Boot应用中的CVE-2019-8457漏洞

CVE-2019-8457并非来自Spring Boot 2.6.6的Java应用层依赖，你排查所有Maven/Gradle依赖找不到SQLite3是正常的——漏洞来源是jdk18-slim基础镜像内置的Debian系统包：版本为5.3.28+dfsg1-0.8的db5.3组件依赖了3.27.2版本的SQLite3，刚好落在3.6.0至3.27.2的漏洞影响范围内。这类操作系统层面预装的系统库不会被Java依赖扫描工具识别，因此你之前的排查方向存在偏差。
漏洞触发逻辑为SQLite3的rtreenode()函数处理无效rtree表时存在堆越界读取问题，风险等级为高危。

方案1：升级基础镜像内置系统包（优先推荐，改动最小） #

该方案不改变原有镜像基线，兼容性风险最低，直接在Docker构建阶段执行系统安全更新，将存在漏洞的db5.3、libsqlite3-0包升级到已修复的安全版本即可，Dockerfile参考配置：

# 原有基础镜像行不变
FROM openjdk:18-jdk-slim
# 追加系统包升级逻辑，升级完成后清理apt缓存减小镜像体积
RUN apt-get update && apt-get install -y --no-install-recommends \
    libdb5.3 \
    libsqlite3-0 \
    && apt-get clean \
    && rm -rf /var/lib/apt/lists/*
# 保留你原有的应用构建逻辑
COPY target/your-application.jar /app.jar
ENTRYPOINT ["java", "-jar", "/app.jar"]

如果可以更换镜像tag，直接拉取官方更新后的最新18-jdk-slim镜像即可，已发布的更新版本默认修复了该系统层漏洞，无需额外执行升级命令。

方案2：直接卸载无用的漏洞组件 #

绝大多数普通Spring Boot业务应用不会依赖系统层的db5.3库，可以直接在构建阶段卸载该组件，彻底移除漏洞点，同时还能缩小镜像体积，Dockerfile参考配置：

FROM openjdk:18-jdk-slim
RUN apt-get update && apt-get remove -y --purge libdb5.3 \
    && apt-get autoremove -y \
    && apt-get clean \
    && rm -rf /var/lib/apt/lists/*
# 保留你原有的应用构建逻辑
COPY target/your-application.jar /app.jar
ENTRYPOINT ["java", "-jar", "/app.jar"]

构建完成后启动镜像验证应用功能，若所有接口、定时任务、依赖组件运行正常即可正式使用。

方案3：切换到Alpine基线的JDK镜像 #

如果对镜像漏洞数量、体积有更高要求，可以替换为基于Alpine Linux构建的JDK18镜像，Alpine的apk软件源中对应的sqlite、db5组件早已修复该CVE，且整体镜像体积比Debian系slim镜像小60%左右。注意Alpine使用musl libc，若应用依赖JNI本地库，需要提前做兼容性验证，Dockerfile参考配置：

FROM openjdk:18-jdk-alpine
# 保留你原有的应用构建逻辑
COPY target/your-application.jar /app.jar
ENTRYPOINT ["java", "-jar", "/app.jar"]

镜像构建完成后，进入容器内部执行命令确认组件版本，验证漏洞是否修复：

• 针对Debian系slim镜像，执行dpkg -l | grep libsqlite3，输出的libsqlite3-0版本号高于3.27.2即为修复完成
• 针对Alpine镜像，执行apk info | grep sqlite-libs，输出的sqlite-libs版本号高于3.27.2即为修复完成

内容的提问来源于stack exchange，提问作者Rpj