在Rabbitmq客户端库中修复CWE ID 117

Question

我的软件使用RabbitMQ进行通信。但是，Veracode已标记amqp-client库中的CWE 117（日志的输出不正确中和）。

我试图升级到最新版本（4.11.3），但是Veracode仍然不允许我通过。我的软件是用Java 7编写的，因此我无法进一步升级，并且客户端没有任何计划升级到Java 8。

我可以在软件代码中做些什么来摆脱CWE 117问题？

Answer 1

当对等方验证失败时，上述行记录对等方证书链信息，级别为DEBUG。我认为这不会带来任何实际风险，因为大多数应用程序都不会在启用调试日志记录的情况下运行。在任何情况下，缓解都与使用更严格的日志级别（例如， INFO。