durabletask-java: google protobuf version 3.12.0 vulnerability

Offen

#251 erstellt am 23.1.2026 0 Kommentare 0 Reaktionen 0 zugewiesene Personen Auf GitHub ansehen

Dieses Issue hat noch niemand übernommen.

Bewertung

Schwierigkeit: 3/5
Geschätzter Aufwand: 1-2 Tage
Anfängerfreundlichkeit: 45/100

Issue-Typ: Bug
Klarheit: Größtenteils klar
Aktivitätsstatus: Veraltet
Tech-Stack: java
Bereich: security

Rechercherichtung

Beginnen Sie in durabletask-java/azurefunctions/build.gradle bei der Version, auf die in der Nähe von Zeile 12 verwiesen wird, und untersuchen Sie anschließend die Projektabhängigkeiten und das generierte POM, um jede protobuf-java-Referenz zu finden. Überprüfen Sie, dass die verwundbare Abhängigkeit 3.12.0 auf mindestens 3.25.5 aktualisiert wurde, und bestätigen Sie, dass die resultierenden Abhängigkeitsmetadaten die verwundbare Version nicht mehr melden.

Vom Indexierungsmodell aus dem Issue-Text verfasst.

Beschreibung

dependencies

In our azure app, we are noticing a warning message for our orchestrator. We did some diagnostics that pointed us to protobuf-java version 3.12.0 as the culprit. According to synk, this version is vulnerable to DOS attacks. They recommend at least upgrading to version 3.25.5 - https://security.snyk.io/package/maven/com.google.protobuf%3Aprotobuf-java/3.12.0

More specifically, in durabletask-java/azurefunctions/build.gradle, it looks like line 12 uses version 3.12.0. The maven website also lists the vulnerable library in the POM file - https://central.sonatype.com/artifact/com.microsoft/durabletask-azure-functions/overview

I cannot confirm that this only spot that needs fixing so a deeper dive should be done before pushing the fix. I also got some chat gpt recommendations to look into durabletask-protobuf, but I can't confirm if this library is a dependency anywhere so I won't be reporting an issue in that repository at this time.

Vorherrschende Sprache: Java
Sterne: 29
Forks: 18
Ø Merge: 1 T. 10 Std.
Gemergte PRs (30 T.): 2

Beitragsleitfaden

Beitragsleitfaden öffnen

Erste Schritte

Lesen Sie das ganze Issue und danach den Beitragsleitfaden des Projekts.
Schreiben Sie ins Issue, dass Sie es übernehmen — das erspart doppelte Arbeit.
Forken Sie das Repository und arbeiten Sie in einem Branch.
Öffnen Sie einen Pull Request, der die Issue-Nummer nennt.

Mehr aus microsoft/durabletask-java

Apply DurableHttpRequest.HttpRetryOptions when scheduling durable HTTP retries Offen

Needs: Triage :mag:

Schwierigkeit 4/5 3-5 Tage Anfängerfreundlichkeit 48/100

microsoft/durabletask-java#303 · Erstellt am 17.9.2026
RetryContext.lastAttemptNumber is inflated when retriable task is awaited via ctx.anyOf(...) Offen

Needs: Triage :mag:

Schwierigkeit 4/5 3-5 Tage Anfängerfreundlichkeit 45/100

microsoft/durabletask-java#290 · 2 Kommentare · Erstellt am 20.5.2026
Add Durable Task middleware support Offen

Needs: Triage :mag:

Schwierigkeit 5/5 Über eine Woche Anfängerfreundlichkeit 35/100

microsoft/durabletask-java#285 · Erstellt am 05.5.2026
ContinueAsNew does not support specifying a new orchestration version Offen

Needs: Triage :mag:

Schwierigkeit 3/5 1-2 Tage Anfängerfreundlichkeit 68/100

microsoft/durabletask-java#276 · Erstellt am 27.3.2026
Wrap gRPC StatusRuntimeException across all client and worker gRPC calls Offen

Enhancement

microsoft/durabletask-java#274 · 1 Reaktion · 2 zugewiesene Personen · Erstellt am 25.3.2026

Alle Issues in microsoft/durabletask-java