security - DataStax cassandra 核心驱动器依赖于易受攻击的 Guava-19

Question

DataStax cassandra core java 驱动器对 guava-19(包括最新的 DataStax)具有传递依赖关系，它具有安全漏洞(CVE-2018-10237)。

在我尝试排除 guava-19.0 时解决此问题来自 DataStax 驱动器的依赖项并替换为 guava-27.1-jre我在运行时遇到以下错误，并通过反编译最新的 Guava 驱动程序确认相同；看起来从 guava-20.0 开始，他们删除了 FutureFallback 类，并且与最新的 cassandra 驱动器没有向后兼容性。

java.lang.NoClassDefFoundError: com/google/common/util/concurrent/FutureFallback

任何帮助或快速修复或替代方案都非常值得赞赏。

Answer 1

该漏洞与 Guava 类有关 AtomicDoubleArray和 CompoundOrdering ;我们不在驱动程序中使用它们。

我们在 JAVA-1328 中解决了 Guava 兼容性问题.该驱动程序与 16.0.1 到最新版本兼容，有一个内部兼容层来解决 19 中的重大更改。我刚刚尝试了一个简单的客户端，它将依赖项覆盖到 27.1-jre，事情按预期工作。

你是如何测试的，你的错误的堆栈跟踪是什么？