ldes/ldi-orchestrator:2.13.0-SNAPSHOT (alpine 3.20.5)
=====================================================
Total: 2 (UNKNOWN: 0, LOW: 0, MEDIUM: 2, HIGH: 0, CRITICAL: 0)
┌────────────┬────────────────┬──────────┬────────┬───────────────────┬───────────────┬─────────────────────────────────────────────────────────────┐
│ Library │ Vulnerability │ Severity │ Status │ Installed Version │ Fixed Version │ Title │
├────────────┼────────────────┼──────────┼────────┼───────────────────┼───────────────┼─────────────────────────────────────────────────────────────┤
│ libcrypto3 │ CVE-2024-13176 │ MEDIUM │ fixed │ 3.3.2-r1 │ 3.3.2-r2 │ openssl: Timing side-channel in ECDSA signature computation │
│ │ │ │ │ │ │ https://avd.aquasec.com/nvd/cve-2024-13176 │
├────────────┤ │ │ │ │ │ │
│ libssl3 │ │ │ │ │ │ │
│ │ │ │ │ │ │ │
└────────────┴────────────────┴──────────┴────────┴───────────────────┴───────────────┴─────────────────────────────────────────────────────────────┘
Java (jar)
==========
Total: 156 (UNKNOWN: 0, LOW: 24, MEDIUM: 48, HIGH: 84, CRITICAL: 0)
┌──────────────────────────────────────────────────────────────┬─────────────────────┬──────────┬──────────┬───────────────────┬─────────────────────────────────────┬──────────────────────────────────────────────────────────────┐
│ Library │ Vulnerability │ Severity │ Status │ Installed Version │ Fixed Version │ Title │
├──────────────────────────────────────────────────────────────┼─────────────────────┼──────────┼──────────┼───────────────────┼─────────────────────────────────────┼──────────────────────────────────────────────────────────────┤
│ ch.qos.logback:logback-classic (ldio-application.jar) │ CVE-2023-6378 │ HIGH │ fixed │ 1.4.11 │ 1.3.12, 1.4.12, 1.2.13 │ logback: serialization vulnerability in logback receiver │
│ │ │ │ │ │ │ https://avd.aquasec.com/nvd/cve-2023-6378 │
├──────────────────────────────────────────────────────────────┤ │ │ │ │ │ │
│ ... │ │ │ │ │ │ │
├──────────────────────────────────────────────────────────────┼─────────────────────┼──────────┤ │ ├─────────────────────────────────────┼──────────────────────────────────────────────────────────────┤
│ ch.qos.logback:logback-core (ldio-application.jar) │ CVE-2024-12798 │ MEDIUM │ │ │ 1.5.13, 1.3.15 │ logback-core: arbitrary code execution via │
│ │ │ │ │ │ │ JaninoEventEvaluator │
│ │ │ │ │ │ │ https://avd.aquasec.com/nvd/cve-2024-12798 │
├──────────────────────────────────────────────────────────────┤ │ │ │ │ │ │
│ ... │ │ │ │ │ │ │
├──────────────────────────────────────────────────────────────┼─────────────────────┼──────────┤ │ │ ├──────────────────────────────────────────────────────────────┤
│ ch.qos.logback:logback-core (ldio-application.jar) │ CVE-2024-12801 │ LOW │ │ │ │ logback-core: SaxEventRecorder vulnerable to Server-Side │
│ │ │ │ │ │ │ Request Forgery (SSRF) attacks │
│ │ │ │ │ │ │ https://avd.aquasec.com/nvd/cve-2024-12801 │
├──────────────────────────────────────────────────────────────┤ │ │ │ │ │ │
│ ... │ │ │ │ │ │ │
├──────────────────────────────────────────────────────────────┼─────────────────────┼──────────┤ ├───────────────────┼─────────────────────────────────────┼──────────────────────────────────────────────────────────────┤
│ com.google.guava:guava │ CVE-2023-2976 │ MEDIUM │ │ 30.1.1-jre │ 32.0.0-android │ guava: insecure temporary directory creation │
│ (ldio-repository-sink-jar-with-dependencies.jar) │ │ │ │ │ │ https://avd.aquasec.com/nvd/cve-2023-2976 │
│ ├─────────────────────┼──────────┤ │ │ ├──────────────────────────────────────────────────────────────┤
│ │ CVE-2020-8908 │ LOW │ │ │ │ guava: local information disclosure via temporary directory │
│ │ │ │ │ │ │ created with unsafe permissions │
│ │ │ │ │ │ │ https://avd.aquasec.com/nvd/cve-2020-8908 │
├──────────────────────────────────────────────────────────────┼─────────────────────┼──────────┤ ├───────────────────┼─────────────────────────────────────┼──────────────────────────────────────────────────────────────┤
│ commons-io:commons-io │ CVE-2024-47554 │ HIGH │ │ 2.11.0 │ 2.14.0 │ apache-commons-io: Possible denial of service attack on │
│ (ldio-repository-sink-jar-with-dependencies.jar) │ │ │ │ │ │ untrusted input to XmlStreamReader │
│ │ │ │ │ │ │ https://avd.aquasec.com/nvd/cve-2024-47554 │
├──────────────────────────────────────────────────────────────┤ │ │ ├───────────────────┤ │ │
│ commons-io:commons-io │ │ │ │ 2.13.0 │ │ │
│ (ldio-rml-adapter-jar-with-dependencies.jar) │ │ │ │ │ │ │
│ │ │ │ │ │ │ │
├──────────────────────────────────────────────────────────────┼─────────────────────┼──────────┤ ├───────────────────┼─────────────────────────────────────┼──────────────────────────────────────────────────────────────┤
│ io.netty:netty-codec-http │ CVE-2024-29025 │ MEDIUM │ │ 4.1.97.Final │ 4.1.108.Final │ netty-codec-http: Allocation of Resources Without Limits or │
│ (ldio-amqp-jar-with-dependencies.jar) │ │ │ │ │ │ Throttling │
│ │ │ │ │ │ │ https://avd.aquasec.com/nvd/cve-2024-29025 │
├──────────────────────────────────────────────────────────────┤ │ │ │ │ │ │
│ io.netty:netty-codec-http │ │ │ │ │ │ │
│ (ldio-http-in-poller-jar-with-dependencies.jar) │ │ │ │ │ │ │
│ │ │ │ │ │ │ │
├──────────────────────────────────────────────────────────────┼─────────────────────┼──────────┤ │ ├─────────────────────────────────────┼──────────────────────────────────────────────────────────────┤
│ io.netty:netty-codec-http2 │ GHSA-xpw8-rcwv-8f8p │ HIGH │ │ │ 4.1.100.Final │ io.netty:netty-codec-http2 vulnerable to HTTP/2 Rapid Reset │
│ (ldio-http-in-poller-jar-with-dependencies.jar) │ │ │ │ │ │ Attack │
│ │ │ │ │ │ │ https://github.com/advisories/GHSA-xpw8-rcwv-8f8p │
├──────────────────────────────────────────────────────────────┼─────────────────────┼──────────┤ │ ├─────────────────────────────────────┼──────────────────────────────────────────────────────────────┤
│ io.netty:netty-common (ldio-amqp-jar-with-dependencies.jar) │ CVE-2024-47535 │ MEDIUM │ │ │ 4.1.115 │ netty: Denial of Service attack on windows app using Netty │
│ │ │ │ │ │ │ https://avd.aquasec.com/nvd/cve-2024-47535 │
├──────────────────────────────────────────────────────────────┤ │ │ │ │ │ │
│ io.netty:netty-common │ │ │ │ │ │ │
│ (ldio-http-in-poller-jar-with-dependencies.jar) │ │ │ │ │ │ │
├──────────────────────────────────────────────────────────────┼─────────────────────┤ ├──────────┤ ├─────────────────────────────────────┼──────────────────────────────────────────────────────────────┤
│ io.netty:netty-common (ldio-amqp-jar-with-dependencies.jar) │ CVE-2025-25193 │ │ affected │ │ │ Netty, an asynchronous, event-driven network application │
│ │ │ │ │ │ │ framework, ha ... │
│ │ │ │ │ │ │ https://avd.aquasec.com/nvd/cve-2025-25193 │
├──────────────────────────────────────────────────────────────┤ │ │ │ ├─────────────────────────────────────┤ │
│ io.netty:netty-common │ │ │ │ │ │ │
│ (ldio-http-in-poller-jar-with-dependencies.jar) │ │ │ │ │ │ │
│ │ │ │ │ │ │ │
├──────────────────────────────────────────────────────────────┼─────────────────────┼──────────┼──────────┤ ├─────────────────────────────────────┼──────────────────────────────────────────────────────────────┤
│ io.netty:netty-handler (ldio-amqp-jar-with-dependencies.jar) │ CVE-2025-24970 │ HIGH │ fixed │ │ 4.1.118.Final │ Netty, an asynchronous, event-driven network application │
│ │ │ │ │ │ │ framework, ha ... │
│ │ │ │ │ │ │ https://avd.aquasec.com/nvd/cve-2025-24970 │
├──────────────────────────────────────────────────────────────┤ │ │ │ │ │ │
│ io.netty:netty-handler │ │ │ │ │ │ │
│ (ldio-http-in-poller-jar-with-dependencies.jar) │ │ │ │ │ │ │
│ │ │ │ │ │ │ │
├──────────────────────────────────────────────────────────────┼─────────────────────┼──────────┤ ├───────────────────┼─────────────────────────────────────┼──────────────────────────────────────────────────────────────┤
│ org.apache.commons:commons-compress │ CVE-2023-42503 │ MEDIUM │ │ 1.23.0 │ 1.24.0 │ apache-commons-compress: Denial of service via CPU │
│ (ldio-amqp-jar-with-dependencies.jar) │ │ │ │ │ │ consumption for malformed TAR file │
│ │ │ │ │ │ │ https://avd.aquasec.com/nvd/cve-2023-42503 │
├──────────────────────────────────────────────────────────────┤ │ │ │ │ │ │
│ org.apache.commons:commons-compress │ │ │ │ │ │ │
│ (ldio-change-detection-filter-jar-with-dependencies.jar) │ │ │ │ │ │ │
│ │ │ │ │ │ │ │
├──────────────────────────────────────────────────────────────┤ │ │ │ │ │ │
│ org.apache.commons:commons-compress │ │ │ │ │ │ │
│ (ldio-ldes-client-jar-with-dependencies.jar) │ │ │ │ │ │ │
│ │ │ │ │ │ │ │
├──────────────────────────────────────────────────────────────┼─────────────────────┤ │ │ ├─────────────────────────────────────┼──────────────────────────────────────────────────────────────┤
│ org.apache.commons:commons-compress │ CVE-2024-25710 │ │ │ │ 1.26.0 │ commons-compress: Denial of service caused by an infinite │
│ (ldio-amqp-jar-with-dependencies.jar) │ │ │ │ │ │ loop for a corrupted... │
│ │ │ │ │ │ │ https://avd.aquasec.com/nvd/cve-2024-25710 │
├──────────────────────────────────────────────────────────────┤ │ │ │ │ │ │
│ org.apache.commons:commons-compress │ │ │ │ │ │ │
│ (ldio-change-detection-filter-jar-with-dependencies.jar) │ │ │ │ │ │ │
│ │ │ │ │ │ │ │
├──────────────────────────────────────────────────────────────┤ │ │ │ │ │ │
│ org.apache.commons:commons-compress │ │ │ │ │ │ │
│ (ldio-ldes-client-jar-with-dependencies.jar) │ │ │ │ │ │ │
│ │ │ │ │ │ │ │
├──────────────────────────────────────────────────────────────┼─────────────────────┤ │ │ │ ├──────────────────────────────────────────────────────────────┤
│ org.apache.commons:commons-compress │ CVE-2024-26308 │ │ │ │ │ commons-compress: OutOfMemoryError unpacking broken Pack200 │
│ (ldio-amqp-jar-with-dependencies.jar) │ │ │ │ │ │ file │
│ │ │ │ │ │ │ https://avd.aquasec.com/nvd/cve-2024-26308 │
├──────────────────────────────────────────────────────────────┤ │ │ │ │ │ │
│ org.apache.commons:commons-compress │ │ │ │ │ │ │
│ (ldio-change-detection-filter-jar-with-dependencies.jar) │ │ │ │ │ │ │
│ │ │ │ │ │ │ │
├──────────────────────────────────────────────────────────────┤ │ │ │ │ │ │
│ org.apache.commons:commons-compress │ │ │ │ │ │ │
│ (ldio-ldes-client-jar-with-dependencies.jar) │ │ │ │ │ │ │
│ │ │ │ │ │ │ │
├──────────────────────────────────────────────────────────────┼─────────────────────┼──────────┤ ├───────────────────┼─────────────────────────────────────┼──────────────────────────────────────────────────────────────┤
│ org.apache.tomcat.embed:tomcat-embed-core │ CVE-2023-46589 │ HIGH │ │ 10.1.12 │ 11.0.0-M11, 10.1.16, 9.0.83, 8.5.96 │ tomcat: HTTP request smuggling via malformed trailer headers │
│ (ldio-application.jar) │ │ │ │ │ │ https://avd.aquasec.com/nvd/cve-2023-46589 │
│ ├─────────────────────┤ │ │ ├─────────────────────────────────────┼──────────────────────────────────────────────────────────────┤
│ │ CVE-2024-34750 │ │ │ │ 11.0.0-M21, 10.1.25, 9.0.90 │ tomcat: Improper Handling of Exceptional Conditions │
│ │ │ │ │ │ │ https://avd.aquasec.com/nvd/cve-2024-34750 │
│ ├─────────────────────┤ │ │ ├─────────────────────────────────────┼──────────────────────────────────────────────────────────────┤
│ │ CVE-2024-50379 │ │ │ │ 11.0.2, 10.1.34, 9.0.98 │ tomcat: RCE due to TOCTOU issue in JSP compilation │
│ │ │ │ │ │ │ https://avd.aquasec.com/nvd/cve-2024-50379 │
│ ├─────────────────────┤ │ │ │ ├──────────────────────────────────────────────────────────────┤
│ │ CVE-2024-56337 │ │ │ │ │ tomcat: Incomplete fix for CVE-2024-50379 - RCE due to │
│ │ │ │ │ │ │ TOCTOU issue in... │
│ │ │ │ │ │ │ https://avd.aquasec.com/nvd/cve-2024-56337 │
│ ├─────────────────────┼──────────┤ │ ├─────────────────────────────────────┼──────────────────────────────────────────────────────────────┤
│ │ CVE-2023-41080 │ MEDIUM │ │ │ 8.5.93, 9.0.80, 10.1.13, 11.0.0-M11 │ tomcat: Open Redirect vulnerability in FORM authentication │
│ │ │ │ │ │ │ https://avd.aquasec.com/nvd/cve-2023-41080 │
│ ├─────────────────────┤ │ │ ├─────────────────────────────────────┼──────────────────────────────────────────────────────────────┤
│ │ CVE-2023-42795 │ │ │ │ 11.0.0-M12, 10.1.14, 9.0.81, 8.5.94 │ tomcat: improper cleaning of recycled objects could lead to │
│ │ │ │ │ │ │ information leak │
│ │ │ │ │ │ │ https://avd.aquasec.com/nvd/cve-2023-42795 │
│ ├─────────────────────┤ │ │ │ ├──────────────────────────────────────────────────────────────┤
│ │ CVE-2023-44487 │ │ │ │ │ HTTP/2: Multiple HTTP/2 enabled web servers are vulnerable │
│ │ │ │ │ │ │ to a DDoS attack... │
│ │ │ │ │ │ │ https://avd.aquasec.com/nvd/cve-2023-44487 │
│ ├─────────────────────┤ │ │ │ ├──────────────────────────────────────────────────────────────┤
│ │ CVE-2023-45648 │ │ │ │ │ tomcat: incorrectly parsed http trailer headers can cause │
│ │ │ │ │ │ │ request smuggling │
│ │ │ │ │ │ │ https://avd.aquasec.com/nvd/cve-2023-45648 │
│ ├─────────────────────┤ │ │ ├─────────────────────────────────────┼──────────────────────────────────────────────────────────────┤
│ │ CVE-2024-24549 │ │ │ │ 8.5.99, 9.0.86, 10.1.19, 11.0.0-M17 │ Tomcat: HTTP/2 header handling DoS │
│ │ │ │ │ │ │ https://avd.aquasec.com/nvd/cve-2024-24549 │
├──────────────────────────────────────────────────────────────┼─────────────────────┤ │ │ ├─────────────────────────────────────┼──────────────────────────────────────────────────────────────┤
│ org.apache.tomcat.embed:tomcat-embed-websocket │ CVE-2024-23672 │ │ │ │ 11.0.0-M17, 10.1.19, 9.0.86, 8.5.99 │ Tomcat: WebSocket DoS with incomplete closing handshake │
│ (ldio-application.jar) │ │ │ │ │ │ https://avd.aquasec.com/nvd/cve-2024-23672 │
├──────────────────────────────────────────────────────────────┼─────────────────────┤ │ ├───────────────────┼─────────────────────────────────────┼──────────────────────────────────────────────────────────────┤
│ org.springframework.boot:spring-boot-actuator │ CVE-2023-34055 │ │ │ 3.1.3 │ 2.7.18, 3.0.13, 3.1.6 │ spring-boot: org.springframework.boot: spring-boot-actuator │
│ (ldio-application.jar) │ │ │ │ │ │ class vulnerable to denial of service │
│ │ │ │ │ │ │ https://avd.aquasec.com/nvd/cve-2023-34055 │
├──────────────────────────────────────────────────────────────┼─────────────────────┤ │ ├───────────────────┼─────────────────────────────────────┼──────────────────────────────────────────────────────────────┤
│ org.springframework:spring-context (ldio-application.jar) │ CVE-2024-38820 │ │ │ 6.0.11 │ 6.1.14 │ The fix for CVE-2022-22968 made disallowedFieldspatterns in │
│ │ │ │ │ │ │ DataBinder ... │
│ │ │ │ │ │ │ https://avd.aquasec.com/nvd/cve-2024-38820 │
├──────────────────────────────────────────────────────────────┼─────────────────────┼──────────┤ │ ├─────────────────────────────────────┼──────────────────────────────────────────────────────────────┤
│ org.springframework:spring-web (ldio-application.jar) │ CVE-2024-22243 │ HIGH │ │ │ 6.1.4, 6.0.17, 5.3.32 │ springframework: URL Parsing with Host Validation │
│ │ │ │ │ │ │ https://avd.aquasec.com/nvd/cve-2024-22243 │
│ ├─────────────────────┤ │ │ ├─────────────────────────────────────┼──────────────────────────────────────────────────────────────┤
│ │ CVE-2024-22259 │ │ │ │ 6.1.5, 6.0.18, 5.3.33 │ springframework: URL Parsing with Host Validation │
│ │ │ │ │ │ │ https://avd.aquasec.com/nvd/cve-2024-22259 │
│ ├─────────────────────┤ │ │ ├─────────────────────────────────────┼──────────────────────────────────────────────────────────────┤
│ │ CVE-2024-22262 │ │ │ │ 5.3.34, 6.0.19, 6.1.6 │ springframework: URL Parsing with Host Validation │
│ │ │ │ │ │ │ https://avd.aquasec.com/nvd/cve-2024-22262 │
│ ├─────────────────────┼──────────┤ │ ├─────────────────────────────────────┼──────────────────────────────────────────────────────────────┤
│ │ CVE-2024-38809 │ MEDIUM │ │ │ 5.3.38, 6.0.23, 6.1.12 │ org.springframework:spring-web: Spring Framework DoS via │
│ │ │ │ │ │ │ conditional HTTP request │
│ │ │ │ │ │ │ https://avd.aquasec.com/nvd/cve-2024-38809 │
├──────────────────────────────────────────────────────────────┼─────────────────────┼──────────┤ │ ├─────────────────────────────────────┼──────────────────────────────────────────────────────────────┤
│ org.springframework:spring-webmvc (ldio-application.jar) │ CVE-2023-34053 │ HIGH │ │ │ 6.0.14 │ springframework: io.micrometer: micrometer-core classpath │
│ │ │ │ │ │ │ vulnerable to denial of service │
│ │ │ │ │ │ │ https://avd.aquasec.com/nvd/cve-2023-34053 │
│ ├─────────────────────┤ │ │ ├─────────────────────────────────────┼──────────────────────────────────────────────────────────────┤
│ │ CVE-2024-38816 │ │ │ │ 6.1.13 │ spring-webmvc: Path Traversal Vulnerability in Spring │
│ │ │ │ │ │ │ Applications Using RouterFunctions and FileSystemResource │
│ │ │ │ │ │ │ https://avd.aquasec.com/nvd/cve-2024-38816 │
│ ├─────────────────────┤ │ │ ├─────────────────────────────────────┼──────────────────────────────────────────────────────────────┤
│ │ CVE-2024-38819 │ │ │ │ 6.1.14 │ org.springframework:spring-webmvc: Path traversal │
│ │ │ │ │ │ │ vulnerability in functional web frameworks │
│ │ │ │ │ │ │ https://avd.aquasec.com/nvd/cve-2024-38819 │
├──────────────────────────────────────────────────────────────┼─────────────────────┤ │ ├───────────────────┼─────────────────────────────────────┼──────────────────────────────────────────────────────────────┤
│ org.yaml:snakeyaml (ldio-application.jar) │ CVE-2022-1471 │ │ │ 1.33 │ 2.0 │ SnakeYaml: Constructor Deserialization Remote Code Execution │
│ │ │ │ │ │ │ https://avd.aquasec.com/nvd/cve-2022-1471 │
├──────────────────────────────────────────────────────────────┤ │ │ │ │ │ │
│ ... │ │ │ │ │ │ │
└──────────────────────────────────────────────────────────────┴─────────────────────┴──────────┴──────────┴───────────────────┴─────────────────────────────────────┴──────────────────────────────────────────────────────────────┘
Is your feature request related to a problem? Please describe.
The Linked Data Interactions Orchestrator (version 2.13.0-SNAPSHOT) makes use of Spring boot version 3.1.3.
This version of Spring boot is not supported anymore (since 2024-05-18). There are also multiple CVE's in the (transitive) dependencies with high severity. A vulnerability report (eg with Trivy image scan) is quite a lengthy report: Total: 156 (UNKNOWN: 0, LOW: 24, MEDIUM: 48, HIGH: 84, CRITICAL: 0)
Describe the solution you'd like
Make use of Spring boot 3.4.x.
Describe alternatives you've considered
Maybe I can help with updating the libraries, by creating a PR.
Additional context
Trivy image scan of ldes/ldi-orchestrator:2.13.0-SNAPSHOT image: