Un fat-jar di Spring Boot è un archivio di applicazione Java autonomo che riunisce il codice dell'applicazione e le sue dipendenze a runtime in un unico file eseguibile. Anziché fare affidamento su librerie installate separatamente sul server, il servizio include tutto ciò di cui ha bisogno per avviarsi, compresi framework, parser e classi di supporto.
Questo modello di packaging è comodo per la distribuzione, ma cambia anche le operazioni di sicurezza. Se una libreria vulnerabile è inclusa all'interno del fat-jar, la debolezza viaggia con l'applicazione e deve essere corretta ricompilando e ridistribuendo l'artefatto. Negli attacchi, questo è importante perché un attaccante che raggiunge un componente vulnerabile all'interno dell'archivio può sfruttarlo direttamente tramite il processo Java in esecuzione. I difensori dovrebbero inventariare i fat-jar, identificare le versioni delle dipendenze incorporate e analizzarli alla ricerca di librerie rischiose o impostazioni del parser non sicure prima che siano esposti a input non attendibili.