NVD·OSV·KEV·EPSS 로 취약점 조회하기, Black Duck 검사 방식, httpclient5 TLS 호스트명 검증 변경 등 개발자가 마주치는 보안 이슈 정리.
취약점 조치로 httpclient5 를 올렸더니 사설 인증서 서버에 `No subject alternative DNS name matching ... found` 로 붙지 않는다. DefaultClientTlsStrategy 에 NoopHostnameVerifier 를 넣어도 소용없는 이유와, HostnameVerificationPolicy.CLIENT 로 푸는 방법.
NVD vs OSV, 무엇이 다르고 2026년에 무엇이 바뀌었나. 두 소스의 실제 주소와 API 한계를 확인하고, 우선순위를 정하는 CISA KEV·EPSS 와 GitHub Advisory·배포판 트래커까지 조합한다.
Black Duck Detect 의 Detector·Signature·Binary·Snippet·Container 스캔이 각각 무엇을 보는지, 무엇이 서버로 나가는지, 어디에 뭘 켜야 하는지. OSV·NVD 처럼 DB 를 조회하는 게 아니라 파일로 컴포넌트를 먼저 식별한다.
