-e 옵션이 동작하지 않습니다

[otonapoi]

이미지 파일들을 스캔 결과에서 제외하고 싶어 특정 파일 확장자로 -e 옵션을 설정 시도했습니다.
하지만 결과 목록에서 계속해서 출력되어서 파일이 있는 폴더로 입력 시도했지만 출력에 포함됩니다.

테스트한 명령어는 다음과 같습니다.
"fosslight_binary -p "$PROJECT_PATH" -o "$TARGET_PATH" -e *.png -f excel"

명령어 사용이 잘못되었을까요?

[dd-jy]

@otonapoi
-e 옵션으로 특정 확장자 제거하는 옵션 테스트해보았는데, 정상 동작하고 있는 것으로 보입니다.
혹시 사용하신 FOSSLight Binary Scanner 버전이 몇인지 알 수 있을까요?
테스트하신 환경 정보 전달 부탁드립니다.

• FOSSLight Binary Scanner 버전 (fosslight_binary -v)
• OS 정보 (Ubuntu, Windows, MacOS)
• python 버전

[otonapoi]

@otonapoi -e 옵션으로 특정 확장자 제거하는 옵션 테스트해보았는데, 정상 동작하고 있는 것으로 보입니다. 혹시 사용하신 FOSSLight Binary Scanner 버전이 몇인지 알 수 있을까요? 테스트하신 환경 정보 전달 부탁드립니다.

• FOSSLight Binary Scanner 버전 (fosslight_binary -v)
• OS 정보 (Ubuntu, Windows, MacOS)
• python 버전

확인 감사드립니다.
먼저 테스트 환경 정보를 알려드립니다.

• FOSSLight Binary Scanner Version: 5.1.9
• OS : Ubuntu - Linux 6.6.87.2-microsoft-standard-WSL2
• Python 3.12.3

죄송합니다. 첫 질문에 함께 알려드렸어야 할 내용이 있었습니다. (답변을 확인후에 생각났네요)
해당 버전으로 binary scan 시 다음과 같은 오류가 발생하여 의존 라이브러리의 버전을 별도로 다운 받아 링크한 작업이 있었습니다.

• [ERROR] Error retrieving https://nvd.nist.gov/feeds/json/cve/1.1/nvdcve-1.1-modified.meta; received response code 403; Forbidden
• [ERROR] Unable to download meta file: https://nvd.nist.gov/feeds/json/cve/1.1/nvdcve-1.1-modified.meta

위 에러로 인해 fosslight_binary 에서 내부적으로 의존하는 OWASP Dependency-Check 최신 버전을 OS환경에 설치하고 fosslight_binary 의 의존 링크를 변경하여 실행했습니다.
사용하는 Dependency-Check의 버전은 다음과 같습니다.

• Dependency-Check Core version 6.2.2

마지막으로 실행 로그입니다.

[FOSSLIGHT_BINARY] Total number of binaries: 324
[FOSSLIGHT_BINARY] Total number of files: 434
[FOSSLIGHT_BINARY] Binaries / Scanned files: 324/434
Execution result: Success
Identified in Binary DB / Binaries: 0/324
Mode: Normal Mode
OS: Linux 6.6.87.2-microsoft-standard-WSL2
Path to analyze: /WorkSpace/Output/Debug/embedded/ContentsEditor/ChartCtse
Path to exclude: '*.png'
Python version: 3
Running time: 251021_1231 ~ 20251021_123113
Tool Info: fosslight_binary v5.1.9

다시한번 확인 감사드립니다.

[bjk7119]

@otonapoi
파일명 대소문자 관련하여 문의드립니다.
실행 커멘드로는 소문자(.png)로 입력하셨는데, 실제 파일은 대문자(.PNG)인지 확인 부탁드립니다.

• 추가로 dependency-check 관련하여 오류 패치된 버전 v5.1.10이 지난주에 릴리즈 되었습니다.
  최신 버전으로 분석 진행하실 것을 권장드립니다.

[otonapoi]

@otonapoi 파일명 대소문자 관련하여 문의드립니다. 실행 커멘드로는 소문자(.png)로 입력하셨는데, 실제 파일은 대문자(.PNG)인지 확인 부탁드립니다.

• 추가로 dependency-check 관련하여 오류 패치된 버전 v5.1.10이 지난주에 릴리즈 되었습니다.
  최신 버전으로 분석 진행하실 것을 권장드립니다.

먼저 답변 감사드립니다.
하지만 말씀주신 최신 버전으로 테스트해도 결과는 동일하네요.
실제 파일이름의 확장자도 소문자인 것을 확인했습니다.
혹시나 해서 경로를 exclude 시도했지만 결과가 동일했습니다.

다음은 실행 로그입니다. (29일자 최신 full log로 갱신)

현재 날짜 및 시간: 251029_1114
[FOSSLIGHT_BINARY] Run OWASP Dependency-check to analyze .jar file
[INFO] Checking for updates
[INFO] Skipping NVD API Cache check since last check was within 168 hours.
[INFO] Updating CISA Known Exploited Vulnerability list: https://www.cisa.gov/sites/default/files/feeds/known_exploited_vulnerabilities.json
|[INFO] Begin database defrag
|[INFO] End database defrag (6606 ms)
[INFO] Check for updates complete (7229 ms)
[INFO]

Dependency-Check is an open source tool performing a best effort analysis of 3rd party dependencies; false positives and false negatives may exist in the analysis performed by the tool. Use of the tool and the reporting provided constitutes acceptance for use in an AS IS condition, and there are NO warranties, implied or otherwise, with regard to the analysis or its use. Any use of the tool and the reporting provided is at the user's risk. In no event shall the copyright holder or OWASP be held liable for any damages whatsoever arising out of or in connection with the use of this tool, the analysis performed, or the resulting report.

About ODC: https://dependency-check.github.io/DependencyCheck/general/internals.html
False Positives: https://dependency-check.github.io/DependencyCheck/general/suppression.html

[INFO] Analysis Started
[INFO] Finished File Name Analyzer (0 seconds)
[INFO] Finished Jar Analyzer (0 seconds)
[INFO] Finished Central Analyzer (0 seconds)
[INFO] Finished Dependency Merging Analyzer (0 seconds)
[INFO] Finished Hint Analyzer (0 seconds)
[INFO] Finished Version Filter Analyzer (0 seconds)
/[INFO] Created CPE Index (1 seconds)
[INFO] Finished CPE Analyzer (1 seconds)
[INFO] Finished False Positive Analyzer (0 seconds)
[INFO] Finished NVD CVE Analyzer (0 seconds)
[INFO] Finished Vulnerability Suppression Analyzer (0 seconds)
[INFO] Finished Known Exploited Vulnerability Analyzer (0 seconds)
[INFO] Finished Dependency Bundling Analyzer (0 seconds)
[INFO] Finished Unused Suppression Rule Analyzer (0 seconds)
[INFO] Analysis Complete (1 seconds)
[INFO] Writing JSON report to: /home/qc/sbom/fosslight/TEST/Android/DrawableLoad/dependency-check-report.json
-[FOSSLIGHT_BINARY] No correction with yaml: Cannot find sbom-info.yaml in TEST/Android/DrawableLoad.
[FOSSLIGHT_BINARY] Output file :/mnt/d/sbom/FOSSLight/scan_results/FOSSLight_Scanner/master/SPDX_SCORE100_251029_1114/fosslight_report_bin_251029_1114.xlsx
[FOSSLIGHT_BINARY] Total number of binaries: 24
[FOSSLIGHT_BINARY] Total number of files: 62
[FOSSLIGHT_BINARY] Binaries / Scanned files: 24/62
Execution result: Success
Identified in Binary DB / Binaries: 0/24
Mode: Normal Mode
OS: Linux 6.6.87.2-microsoft-standard-WSL2
Path to analyze: TEST/Android/DrawableLoad
Path to exclude: '*.png'
Python version: 3
Running time: 251029_1114 ~ 20251029_111432
Tool Info: fosslight_binary v5.1.10

추가적으로 기술적인 질문이 아니어서 여기에 질문을 드려도 될지 모르겠습니다만
혹시 enterprise 버전의 경우 오픈소스가 아닌 구독이나 솔루션 구매인지요?
LG-OSPO@lge.com 메일주소로 문의 메일 보냈지만 no such user 라고해서 죄송하지만 문의할 곳이 없어 여기에 여쭙네요

[bjk7119]

@otonapoi ,
해당 이슈 확인중에 있으며, 빠른 시일내로 수정하여 안내드리겠습니다.

메일 주소 다시 안내드립니다.
info@fosslight.org

[bjk7119]

@otonapoi ,

-e옵션으로 glob 패턴 적용을 위해서는 아래의 가이드 참고 부탁드립니다.
#167

1. -e 옵션으로 입력하는 arg.에 쌍 따옴표를 붙여주세요.
   • fosslight_binary -p "$PROJECT_PATH" -o "$TARGET_PATH" -e "*.png" -f excel
2. 파일명 및 확장자를 대소문자 구분하여 입력 부탁드립니다.
   • png 와 PNG가 다르게 구분되어 대소문자 구분하시어 입력 부탁드립니다.

[bjk7119]

@otonapoi 최신 버전으로 실행해보시고 이슈 재현되면 알려주시기 바랍니다.