Политика безопасности

Сообщение об уязвимости

В настоящее время в проекте eclipse не активированы рекомендации по безопасности GitHub.

Чтобы сообщить об уязвимости, вам необходимо открыть билет Bugzilla.

Для получения более подробной информации см. https://www.eclipse.org/security/.

Речь идёт только о библиотеке Leshan. Демоверсии не рассматриваются.

Версия	Поддерживается
2.x
1.x

Примечание: версия 1.x зависит от версии californium 2.x, поддержка которой не ясна. См.: https://github.com/eclipse/californium/security/policy

Список версий, на которые не повлияли известные уязвимости.

Версия
2.0.0-M9 +
1.4.2 +

Это неполный список проблем с безопасностью зависимостей Leshan, которые могут повлиять на Leshan.

CVE/ID	Leshan version concerned	Источник	Влияние
CVE-2022-39368	2.0.0-M1 -> 2.0.0-M8 1.0.0 -> 1.4.1	californium/scandium	любое использование DTLS
CVE-2022-2576	2.0.0-M1 -> 2.0.0-M7 1.0.0 -> 1.4.0	californium/scandium	DTLS_VERIFY_PEERS_ ON_RESUMPTION_THRESHOLD > 0
GHSA-fj2w-wfgv-mwq6	2.0.0-M2 -> 2.0.0-M4	com.upokecenter.cbor	декодирование CBOR или SenML-CBOR
CVE-2020-27222	1.1.0 -> 1.3.1	californium/scandium	использование DTLS с x509 и/или RPK
CVE-2021-34433	2.0.0-M1 -> 2.0.0-M4 1.0.0 -> 1.3.1	californium/scandium	использование DTLS с x509 и/или RPK

Примечание. Мы настоятельно рекомендуем перейти на последнюю безопасную версию Leshan, но для уязвимостей, вызванных зависимостью:

вы можете попробовать просто обновить зависимость до безопасной совместимой версии без обновления Leshan.

Это неполный список уязвимостей JVM, которые могут повлиять на общие варианты использования Leshan.

Зависимость	Затронутая версия	Использование	Уязвимость	Дополнительная информация
JDK / JCE	<= 15.0.2? <= 16.0.2? < 17.0.3 < 18.0.1	Набор шифров на основе ECDSA	ECDSA CVE-2022-21449	https://github.com/eclipse/leshan/issues/1243