[Bug] Security scanner flags vulnerable Guava 31.1-android in firebase-analytics (even in v24.0.0)
メンテナーはふだん 1 日以内に返信
まだ誰も着手していません。
評価
- 難易度
- 4/5
- 見積もり時間
- 3〜5日
- 初心者へのやさしさ
- 48/100
調査の方向性
Start by tracing the dependency declarations for firebase-analytics and play-services-measurement-impl in the repository, then check how their published dependency versions are managed. Confirm whether the Guava version can be updated safely across the affected artifacts; done means the dependency tree resolves to a patched Guava version and the affected SDK builds and tests pass.
索引モデルが issue の本文から書いたものです。
説明
Description:
When generating an SBOM and running a security scan using Grype, the build fails due to a vulnerable version of Guava (31.1-android) being pulled in transitively by firebase-analytics.
I am currently using firebase-bom: 33.9.0, which resolves firebase-analytics to 22.2.0. I noticed a similar report in #7583, but I want to highlight that simply updating to the latest firebase-analytics: 24.0.0 does not resolve this issue, as its underlying play-services-measurement-impl dependency still relies on the same vulnerable Guava version.
Vulnerabilities Flagged (Grype):
GHSA-xxph-c9ww-hj94 (High) - CompactHashMap/CompactHashSet/MapMakerInternalMap deserialization triggers uncontrolled memory allocation
GHSA-7g45-4rm6-3mm3 (Medium) - Insecure use of temporary directory
GHSA-5mg8-w23w-74h3 (Low) - Information Disclosure in Guava
Dependency Tree Context:
+--- com.google.firebase:firebase-analytics:22.2.0 (and 24.0.0)
| +--- com.google.android.gms:play-services-measurement:22.2.0 (and 24.0.0)
| | +--- com.google.android.gms:play-services-measurement-impl:22.2.0 (and 24.0.0)
| | | \--- com.google.guava:guava:31.1-android
Expected Behavior:
The Firebase Android SDK and its underlying Google Play Services dependencies should use a patched version of Guava (such as 33.7.2-android) to prevent CI/CD security scanners from blocking app releases.
Actual Behavior:
The SDK pulls in Guava 31.1-android, forcing developers to manually implement project-wide dependency constraints to override the version and clear security warnings.
Environment:
Firebase BOM: 33.9.0
Firebase Analytics: 22.2.0 (also verified issue exists in 24.0.0)
Scanner: Grype 0.121.0
- 主要言語
- Java
- スター
- 2.6k
- フォーク
- 733
- 平均マージ
- 2日 15時間
- マージ済み PR（30日）
- 72
環境構築
- Dockerfile・Docker Compose ファイルなし
- プルリクエストのテンプレートなし
- コントリビューションガイドを読む
はじめの一歩
- issue を最後まで読み、次にプロジェクトのコントリビューションガイドを読みます。
- 着手することを issue にコメントします — 二人が同じ作業をするのを防げます。
- リポジトリをフォークし、ブランチを切って変更します。
- issue 番号を参照したプルリクエストを送ります。
firebase/firebase-android-sdk のほかの issue
-
api: remoteconfig
難易度 2/5 1〜3時間 初心者へのやさしさ 78/100
firebase/firebase-android-sdk#8827 ·
メンテナーはふだん 1 日以内に返信
-
Crashlytics plugin writes build ID lists in directory listing order, so APKs can differ between machines対応中かも @mrober が 8 日前に担当しました。 オープンapi: crashlytics
難易度 2/5 1〜3時間 初心者へのやさしさ 72/100
firebase/firebase-android-sdk#8789 · コメント 1 件 · 担当者 1 名 ·
メンテナーはふだん 1 日以内に返信
-
api: auth
難易度 2/5 1〜3時間 初心者へのやさしさ 68/100
firebase/firebase-android-sdk#8505 · コメント 1 件 ·
メンテナーはふだん 1 日以内に返信
-
難易度 4/5 3〜5日 初心者へのやさしさ 15/100
firebase/firebase-android-sdk#8835 ·
メンテナーはふだん 1 日以内に返信
-
難易度 4/5 3〜5日 初心者へのやさしさ 25/100
firebase/firebase-android-sdk#8832 ·
メンテナーはふだん 1 日以内に返信
firebase/firebase-android-sdk の issue をすべて見る
似ている issue
-
難易度 2/5 1〜3時間 初心者へのやさしさ 76/100
メンテナーはふだん 1 日以内に返信
-
難易度 2/5 1〜3時間 初心者へのやさしさ 80/100
メンテナーはふだん 1 日以内に返信
-
RIS export splits an organization name containing “and” into multiple authors対応中かも @Gautam-aman が今日担当しました。 オープンstatus: needs-triage
難易度 2/5 1〜3時間 初心者へのやさしさ 78/100
JabRef/jabref#17821 · コメント 1 件 ·
メンテナーはふだん 1 日以内に返信
-
FailureContext.java rounds down thresholds in lastedAtLeast()対応中かも このイシューにリンクされたプルリクエストがオープン中、またはマージ済みです。 オープン
難易度 2/5 1〜3時間 初心者へのやさしさ 82/100
メンテナーはふだん 1 日以内に返信
-
難易度 1/5 1時間未満 初心者へのやさしさ 86/100
メンテナーはふだん 1 日以内に返信