jarの管理方法について

Question

javaのstruts1.2.9を使ってシステムを作っています。
今回、pdfでのレポート出力を行うにあたりJasperReports6.2.2を利用する事を考えております。

例えばですが、struts1.2.9ではcommons-beanutils-1.7.0.jarを利用しますが、
JasperReports6.2.2では、commons-beanutils-1.9.0.jarを利用します。
この場合、commons-beanutils-1.7.0.jarは利用せず、commons-beanutils-1.9.0.jarを
ライブラリとして利用すべきなのでしょうか。
つまりこのような場合、struts側への障害は起きないのか気にかけています。
ご回答の程、宜しくお願い致します。

Answer 1

そのままいるほうが脆弱性がひどく障害発生します。

commons-beanutils-1.9.2 未満→ 1.9.3

他 jar も同様

Comments

[退会済みユーザー]

維持管理する場合、使用しているモジュールの脆弱性も自己管理する必要があります。
Struts 1.x は EOL

[32nori]

脆弱性、ＥＯＬは承知しているのですが、それ以外でstrutsのプログラムにて例外エラーが出て動かなくなる事はないか。
この様な場合、strutsではこちらのjarが呼ばれjasperではこっちのjarを呼ぶなどの管理設定方法は無いのか知りたく思っています。如何でしょうか。

[退会済みユーザー]

前述のリンク先で公式見解が1.92にしろなので基本的な使い方では例外は吐きませんよ

[32nori]

ご回答有難う御座います。こちら1例として上げたのですが、他のjarについてはどう考えるべきなのでしょうバージョンアップ理由を個々に調査して導入を判断すべきですかそれとも無条件に入れるべきなのでしょうか。そうゆうことをいつも気にかけてます。

[退会済みユーザー]

できる限り調べて上げるべきかと思います。
beans-utilはかなりやばい部類ですが、他はこれに対して別の回避法があったとおもいますが。

※ バリデーターだけは途中で互換性が無かったかも知れません。

[32nori]

ご回答有難う御座いました。参考にさせていただきます。