durabletask-java: google protobuf version 3.12.0 vulnerability

评估

调研方向

描述

In our azure app, we are noticing a warning message for our orchestrator. We did some diagnostics that pointed us to protobuf-java version 3.12.0 as the culprit. According to synk, this version is vulnerable to DOS attacks. They recommend at least upgrading to version 3.25.5 - https://security.snyk.io/package/maven/com.google.protobuf%3Aprotobuf-java/3.12.0

More specifically, in durabletask-java/azurefunctions/build.gradle, it looks like line 12 uses version 3.12.0. The maven website also lists the vulnerable library in the POM file - https://central.sonatype.com/artifact/com.microsoft/durabletask-azure-functions/overview

I cannot confirm that this only spot that needs fixing so a deeper dive should be done before pushing the fix. I also got some chat gpt recommendations to look into durabletask-protobuf, but I can't confirm if this library is a dependency anywhere so I won't be reporting an issue in that repository at this time.

贡献指南

打开贡献指南

从这里开始

1. 先读完整个 Issue，再读项目的贡献指南。
2. 在 Issue 下留言说明你要接手 —— 这能避免两个人做同样的事。
3. Fork 仓库，在一个分支上完成修改。
4. 提交 Pull Request，并在描述里引用这个 Issue 编号。

microsoft/durabletask-java 的其他 Issue

• Apply DurableHttpRequest.HttpRetryOptions when scheduling durable HTTP retries 未关闭
  Needs: Triage :mag:

  难度 4/5 3-5 天 新手友好度 48/100

  microsoft/durabletask-java#303 · 2026年9月17日 创建

• RetryContext.lastAttemptNumber is inflated when retriable task is awaited via ctx.anyOf(...) 未关闭
  Needs: Triage :mag:

  难度 4/5 3-5 天 新手友好度 45/100

  microsoft/durabletask-java#290 · 2 条评论 · 2026年5月20日 创建

• Add Durable Task middleware support 未关闭
  Needs: Triage :mag:

  难度 5/5 一周以上 新手友好度 35/100

  microsoft/durabletask-java#285 · 2026年5月5日 创建

• ContinueAsNew does not support specifying a new orchestration version 未关闭
  Needs: Triage :mag:

  难度 3/5 1-2 天 新手友好度 68/100

  microsoft/durabletask-java#276 · 2026年3月27日 创建

• Wrap gRPC StatusRuntimeException across all client and worker gRPC calls 未关闭
  Enhancement

  microsoft/durabletask-java#274 · 1 个 reaction · 已指派 2 人 · 2026年3月25日 创建

查看 microsoft/durabletask-java 的全部 Issue

相似的 Issue

• Gate OkHttp body capture on active Session Replay 未关闭
  Bug Java Platform: Java

  难度 2/5 1-3 小时 新手友好度 78/100

  getsentry/sentry-java#6138 · 1 条评论 · 2026年9月21日 创建

• [Datastream to BigQuery] NullPointerException in DataStreamIO when eventType is null 未关闭
  bug needs triage p2

  难度 2/5 1-3 小时 新手友好度 78/100

  GoogleCloudPlatform/DataflowTemplates#4273 · 1 条评论 · 2026年9月21日 创建

• [Studio][Bug] Bulk-deleting a full page of alert rules steps the page back while more rules remain 未关闭

  难度 2/5 1-3 小时 新手友好度 78/100

  apache/rocketmq-dashboard#4654 · 1 条评论 · 2026年9月21日 创建

• [Bug] [Connector-V2] [Http] A streaming Http source never completes a checkpoint: poll_interval_millis is waited out holding the checkpoint lock 未关闭

  难度 2/5 1-3 小时 新手友好度 78/100

  apache/seatunnel#12411 · 2026年9月20日 创建

• wafv2: TagResource/UntagResource don't enforce the 50-tag limit or key/value length limits 未关闭

  难度 2/5 1-3 小时 新手友好度 76/100

  floci-io/floci#4035 · 2026年9月20日 创建

更多 Java Issue