durabletask-java: google protobuf version 3.12.0 vulnerability

評估

研究方向

描述

In our azure app, we are noticing a warning message for our orchestrator. We did some diagnostics that pointed us to protobuf-java version 3.12.0 as the culprit. According to synk, this version is vulnerable to DOS attacks. They recommend at least upgrading to version 3.25.5 - https://security.snyk.io/package/maven/com.google.protobuf%3Aprotobuf-java/3.12.0

More specifically, in durabletask-java/azurefunctions/build.gradle, it looks like line 12 uses version 3.12.0. The maven website also lists the vulnerable library in the POM file - https://central.sonatype.com/artifact/com.microsoft/durabletask-azure-functions/overview

I cannot confirm that this only spot that needs fixing so a deeper dive should be done before pushing the fix. I also got some chat gpt recommendations to look into durabletask-protobuf, but I can't confirm if this library is a dependency anywhere so I won't be reporting an issue in that repository at this time.

貢獻指南

開啟貢獻指南

從這裡開始

1. 先讀完整個 Issue，再讀專案的貢獻指南。
2. 在 Issue 下留言說明你要接手 —— 這能避免兩個人做同樣的事。
3. Fork 儲存庫，在一個分支上完成修改。
4. 送出 Pull Request，並在描述裡引用這個 Issue 編號。

microsoft/durabletask-java 的其他 Issue

• Apply DurableHttpRequest.HttpRetryOptions when scheduling durable HTTP retries 未關閉
  Needs: Triage :mag:

  難度 4/5 3-5 天 新手友好度 48/100

  microsoft/durabletask-java#303 · 2026年9月17日 建立

• RetryContext.lastAttemptNumber is inflated when retriable task is awaited via ctx.anyOf(...) 未關閉
  Needs: Triage :mag:

  難度 4/5 3-5 天 新手友好度 45/100

  microsoft/durabletask-java#290 · 2 則留言 · 2026年5月20日 建立

• Add Durable Task middleware support 未關閉
  Needs: Triage :mag:

  難度 5/5 一週以上 新手友好度 35/100

  microsoft/durabletask-java#285 · 2026年5月5日 建立

• ContinueAsNew does not support specifying a new orchestration version 未關閉
  Needs: Triage :mag:

  難度 3/5 1-2 天 新手友好度 68/100

  microsoft/durabletask-java#276 · 2026年3月27日 建立

• Wrap gRPC StatusRuntimeException across all client and worker gRPC calls 未關閉
  Enhancement

  microsoft/durabletask-java#274 · 1 個 reaction · 已指派 2 人 · 2026年3月25日 建立

查看 microsoft/durabletask-java 的全部 Issue

相似的 Issue

• Gate OkHttp body capture on active Session Replay 未關閉
  Bug Java Platform: Java

  難度 2/5 1-3 小時 新手友好度 78/100

  getsentry/sentry-java#6138 · 1 則留言 · 2026年9月21日 建立

• [Datastream to BigQuery] NullPointerException in DataStreamIO when eventType is null 未關閉
  bug needs triage p2

  難度 2/5 1-3 小時 新手友好度 78/100

  GoogleCloudPlatform/DataflowTemplates#4273 · 1 則留言 · 2026年9月21日 建立

• [Bug] [Connector-V2] [Http] A streaming Http source never completes a checkpoint: poll_interval_millis is waited out holding the checkpoint lock 未關閉

  難度 2/5 1-3 小時 新手友好度 78/100

  apache/seatunnel#12411 · 2026年9月20日 建立

• wafv2: TagResource/UntagResource don't enforce the 50-tag limit or key/value length limits 未關閉

  難度 2/5 1-3 小時 新手友好度 76/100

  floci-io/floci#4035 · 2026年9月20日 建立

• [Bug]: 26.3 Missing directional_particles in ConsumeEffect 未關閉
  bug needs triage

  難度 2/5 1-3 小時 新手友好度 76/100

  Minestom/Minestom#3375 · 2026年9月20日 建立

更多 Java Issue