Build Misconfiguration: Dynamic Dependency Version Usage

使用動態版本擷取建置的 dependency，會使 build system 易受惡意二進位程式的侵害或造成系統產生意外的運作方式。

利用 Apache Ivy 自動化 dependency 管理系統，使用者可為 dependency 指定版本狀態 (也稱為動態版本)，而非列出特定版本。如果攻擊者能夠危害 dependency 儲存庫，或欺騙 build system 從攻擊者控制的儲存庫下載 dependency，那麼 build system 只需下載動態修正說明符號，而該說明符號可能執行受危害的 dependency。除了安全性風險之外，動態修正還會為 Code Quality 帶來下列風險：動態修正使軟體的安全性和穩定性受控於第三方，即開發和發行軟體所使用的 dependency 的第三方。

在建置過程中，Ivy 會連接到儲存庫並企圖擷取與所列出狀態相符的 dependency。

Ivy 接受以下的動態修正說明符號：

- latest.integration：選擇 dependency 模組的最新修正。
- latest.[any status]：選擇至少處於指定狀態的 dependency 模組的最新修正。例如，latest.milestone 會選擇重要的修正版本，或是發行版本，而 latest.release 僅會選擇最新發行版本。
- 任何結尾為 + 的修正：選擇 dependency 模組的最新子修正。例如，如果 dependency 存在於 1.0.3、1.0.7 及 1.1.2 修正版本中，則指定為 1.0.+ 的修正版本會選擇 1.0.7 修正版本。
- 版本範圍：表示範圍的數學符號 (例如 ) 可用來對應版本的範圍。

範例 1：以下的組態項目會指示 Ivy 擷取 clover 元件的最新發行版本：

<dependencies>
        <dependency org="clover" name="clover"
                    rev="latest.release" conf="build->*"/>
	...

如果儲存庫受到危害，攻擊者可很容易便上傳符合動態標準的版本，使 Ivy 下載 dependency 的惡意版本。