durabletask-java: google protobuf version 3.12.0 vulnerability

評価

調査の方向性

説明

In our azure app, we are noticing a warning message for our orchestrator. We did some diagnostics that pointed us to protobuf-java version 3.12.0 as the culprit. According to synk, this version is vulnerable to DOS attacks. They recommend at least upgrading to version 3.25.5 - https://security.snyk.io/package/maven/com.google.protobuf%3Aprotobuf-java/3.12.0

More specifically, in durabletask-java/azurefunctions/build.gradle, it looks like line 12 uses version 3.12.0. The maven website also lists the vulnerable library in the POM file - https://central.sonatype.com/artifact/com.microsoft/durabletask-azure-functions/overview

I cannot confirm that this only spot that needs fixing so a deeper dive should be done before pushing the fix. I also got some chat gpt recommendations to look into durabletask-protobuf, but I can't confirm if this library is a dependency anywhere so I won't be reporting an issue in that repository at this time.

コントリビューションガイド

コントリビューションガイドを開く

はじめの一歩

1. issue を最後まで読み、次にプロジェクトのコントリビューションガイドを読みます。
2. 着手することを issue にコメントします — 二人が同じ作業をするのを防げます。
3. リポジトリをフォークし、ブランチを切って変更します。
4. issue 番号を参照したプルリクエストを送ります。

microsoft/durabletask-java のほかの issue

• Apply DurableHttpRequest.HttpRetryOptions when scheduling durable HTTP retries オープン
  Needs: Triage :mag:

  難易度 4/5 3〜5日 初心者へのやさしさ 48/100

  microsoft/durabletask-java#303 · 2026年9月17日 に作成

• RetryContext.lastAttemptNumber is inflated when retriable task is awaited via ctx.anyOf(...) オープン
  Needs: Triage :mag:

  難易度 4/5 3〜5日 初心者へのやさしさ 45/100

  microsoft/durabletask-java#290 · コメント 2 件 · 2026年5月20日 に作成

• Add Durable Task middleware support オープン
  Needs: Triage :mag:

  難易度 5/5 1週間以上 初心者へのやさしさ 35/100

  microsoft/durabletask-java#285 · 2026年5月5日 に作成

• ContinueAsNew does not support specifying a new orchestration version オープン
  Needs: Triage :mag:

  難易度 3/5 1〜2日 初心者へのやさしさ 68/100

  microsoft/durabletask-java#276 · 2026年3月27日 に作成

• Wrap gRPC StatusRuntimeException across all client and worker gRPC calls オープン
  Enhancement

  microsoft/durabletask-java#274 · リアクション 1 件 · 担当者 2 名 · 2026年3月25日 に作成

microsoft/durabletask-java の issue をすべて見る

似ている issue

• Gate OkHttp body capture on active Session Replay オープン
  Bug Java Platform: Java

  難易度 2/5 1〜3時間 初心者へのやさしさ 78/100

  getsentry/sentry-java#6138 · コメント 1 件 · 2026年9月21日 に作成

• [Datastream to BigQuery] NullPointerException in DataStreamIO when eventType is null オープン
  bug needs triage p2

  難易度 2/5 1〜3時間 初心者へのやさしさ 78/100

  GoogleCloudPlatform/DataflowTemplates#4273 · コメント 1 件 · 2026年9月21日 に作成

• [Bug] [Connector-V2] [Http] A streaming Http source never completes a checkpoint: poll_interval_millis is waited out holding the checkpoint lock オープン

  難易度 2/5 1〜3時間 初心者へのやさしさ 78/100

  apache/seatunnel#12411 · 2026年9月20日 に作成

• wafv2: TagResource/UntagResource don't enforce the 50-tag limit or key/value length limits オープン

  難易度 2/5 1〜3時間 初心者へのやさしさ 76/100

  floci-io/floci#4035 · 2026年9月20日 に作成

• [Bug]: 26.3 Missing directional_particles in ConsumeEffect オープン
  bug needs triage

  難易度 2/5 1〜3時間 初心者へのやさしさ 76/100

  Minestom/Minestom#3375 · 2026年9月20日 に作成

Java の issue をもっと見る