AE
я не понимаю в чем она неприклона?
Size: a a a
2021 December 17
A
даже если зависимость не в рантайме 🙁
A
если в либе есть хоть намек на версию ниже 2.16 то это сходу риджект, без ньюансов и выяснений где и как оно тянется
AE
окей, у вас git плагин есть в Jenkins?
A
есть, в нем та же проблема как я понимаю ?
AE
AE
попроси их выключить сначала git плагин
AE
если вы без него будете жить, то в целом аллюр можно уже не трогать
A
я понимаю что это выглядит слишком, но у нас супер строго сейчас и всех лихорадит, возмодно вообще дженкинс уберут если останутся плагины без фиксов
c
log4j 1.x это другой проект с другой кодобазой, который логически развился в slf4j и logback
т.е. предлается один проект, в котором никогда не было никаких похожих проблем сменить на другой, в котором зафиксили только что самую крупную и опасную уязвивость в jvm мире за последние лет 10?
т.е. предлается один проект, в котором никогда не было никаких похожих проблем сменить на другой, в котором зафиксили только что самую крупную и опасную уязвивость в jvm мире за последние лет 10?
A
я понимаю доводы разума) но как бывает в больших комапниях елси прилетела команда юзать 2.16+ то никакие доводы уже непомогут )
AE
окей, я направление мысли понял, я апну зависимость от Jenkins на свежую версию, НО это сломает совместимость "со всеми Jenkins, которые ниже версии в которой обновлен log4j")))
AE
т.е примерно 99% пользователей
c
ну также можно и все другие проекты, в названии которых есть подстрока 4j тоже забанить, получается)
AE
я тебе соберу PR и приложу плагин в виде артефакта, ты сможешь безопасникам обхяснить что вам придется какое-то время устанавливать все из файла?
AE
ломать всех на upgrade через колено не получится 100%
A
спасибо за предложение, но если не будет выходить официальная версия с таким фиксом, то не нужно, мы сами соберем джарник
A
спасибо за объеянения
V
А я так понимаю, сейчас нет вообще никакой возможности искать тест-кейсы по нескольким тегам в TestOps с условием
AND ?V
То есть, это даже на уровне api не реализовано?