Cassandra项目Commons Collections漏洞及apache-rat版本升级可行性问询

• Apache commons-collections 3.2.1版本存在公开可查的知名安全漏洞，相关漏洞说明可对应CERT公开公告、Apache官方问题跟踪条目，该漏洞的修复与缓解工作已在commons-collections 3.2.2版本中完成。
• 目前Cassandra的所有已发布版本（包含4.0beta4在内），都会通过apache-rat 0.10版本的依赖链路，间接引入存在漏洞的commons-collections 3.2.1组件。
• 本次咨询的核心问题：是否可以将构建环节使用的apache-rat版本升级至0.12版本，通过版本调整间接引入已修复漏洞的最新版commons-collections？该升级方案的合理性可参考apache-rat官方代码仓库的对应提交记录。
• 提问者已在Cassandra 3.0.24源码中完成对应的配置修改，重新执行编译流程未出现报错。对应的配置修改diff如下：

diff --git a/cassandra/cassandra-3.0-src/build.xml b/cassandra/cassandra-3.0-src/build.xml
index 73c9889d81..ed236443d4 100644
--- a/cassandra/cassandra-3.0-src/build.xml
+++ b/cassandra/cassandra-3.0-src/build.xml
@@ -402,3 +402,3 @@
           <dependency groupId="org.reflections" artifactId="reflections" version="0.9.12" />
-          <dependency groupId="org.apache.rat" artifactId="apache-rat" version="0.10">
+          <dependency groupId="org.apache.rat" artifactId="apache-rat" version="0.12">
              <exclusion groupId="commons-lang" artifactId="commons-lang"/>
@@ -1605,3 +1605,3 @@
     <artifact:dependencies pathId="rat.classpath">
-      <dependency groupId="org.apache.rat" artifactId="apache-rat-tasks" version="0.6" />
+      <dependency groupId="org.apache.rat" artifactId="apache-rat-tasks" version="0.12" />
       <remoteRepository refid="central"/>

内容的提问来源于stack exchange，提问作者KVS7