如何在Java 17应用中修复libsoup组件的CVE漏洞？

首先明确：libsoup不是Java组件，而是Red Hat UBI8系统的C/C++库，所以你尝试在pom.xml中添加依赖的方式完全不适用，这就是仓库找不到对应内容的原因。

核心原因 #

这个漏洞来自你使用的ubi8-minimal with java 17基础容器镜像，属于操作系统层面的组件漏洞，和Java应用的Maven依赖无关。

正确修复步骤 #

• 升级基础镜像：直接使用官方更新后的ubi8-minimal镜像，确保镜像内置的libsoup已经是修复后的0:2.62.3-8.el8_10版本。可以拉取最新版的ubi8-minimal镜像，或者查询Red Hat官方镜像仓库中包含该修复版本的特定标签。
• 构建镜像时手动更新系统包：如果暂时无法更换基础镜像，在你的Dockerfile中添加以下命令，在构建过程中升级libsoup：

  RUN yum update -y libsoup && yum clean all
  

• 验证修复效果：构建完成新镜像后，进入容器执行以下命令确认版本：

  rpm -q libsoup
  

  输出应为libsoup-2.62.3-8.el8_10.x86_64（或对应架构的版本）。

内容的提问来源于stack exchange，提问作者Tim