如何解决Quarkus RESTEasy中CVE-2016-9606安全漏洞问题

漏洞基础说明 #

CVE-2016-9606：3.1.2版本之前的JBoss RESTEasy可能被强制通过YamlProvider解析请求，导致潜在不可信数据被反序列化，攻击者可凭借RESTEasy应用权限执行任意代码。

2022年1月17日更新：该漏洞仅存在于Quarkus<=2.2版本中，经实测2.6.2.Final及以上版本不存在此安全漏洞

修复操作步骤 #

• 第一步：确认当前项目的Quarkus版本
  Maven项目执行命令：./mvnw quarkus:info
  Gradle项目执行命令：./gradlew quarkusInfo
• 第二步：升级Quarkus基础版本到2.6.2.Final或更高稳定版
  1. Maven项目修改pom.xml中的Quarkus平台版本属性：
     找到<quarkus.platform.version>配置项，修改值为目标版本，示例：
     <quarkus.platform.version>2.16.12.Final</quarkus.platform.version>
  2. Gradle项目修改build.gradle中的Quarkus插件版本、依赖BOM版本为目标版本
• 第三步：刷新项目依赖
  Maven项目执行：./mvnw clean dependency:resolve
  Gradle项目执行：./gradlew clean dependencies --refresh-dependencies
• 第四步：验证修复结果
  1. 启动应用后访问内置的/q/info端点，确认返回的Quarkus版本符合预期
  2. 检查RESTEasy依赖版本是否符合要求：
     Maven项目执行：./mvnw dependency:tree | grep resteasy
     Gradle项目执行：./gradlew dependencies | grep resteasy
     确认输出的RESTEasy核心版本≥3.1.2即可

临时缓解方案（无法立即升级时使用） #

直接在项目构建配置中排除RESTEasy的YAML解析器依赖，以Maven为例，在quarkus-resteasy依赖的配置块中添加如下排除规则：

<exclusion>
  <groupId>org.jboss.resteasy</groupId>
  <artifactId>resteasy-yaml-provider</artifactId>
</exclusion>

Gradle项目对应添加exclude规则即可。

内容的提问来源于stack exchange，提问作者Jaqueline Schweigert