[Bug] Security scanner flags vulnerable Guava 31.1-android in firebase-analytics (even in v24.0.0)

Đang mở
  • Có gì không ổn?
#8,770 1 bình luận 2 reaction 0 người được giao Xem trên GitHub

Maintainer thường phản hồi trong vòng 1 ngày

Chưa có ai nhận issue này.

Đánh giá

Độ khó
4/5
Thời gian dự kiến
3-5 ngày
Mức phù hợp với người mới
48/100
Loại issue
Lỗi
Độ rõ ràng
Khá rõ ràng
Mức độ hoạt động
Sôi nổi
Công nghệ
android, java
Lĩnh vực
backend, security

Hướng nghiên cứu

Start by tracing the dependency declarations for firebase-analytics and play-services-measurement-impl in the repository, then check how their published dependency versions are managed. Confirm whether the Guava version can be updated safely across the affected artifacts; done means the dependency tree resolves to a patched Guava version and the affected SDK builds and tests pass.

Do mô hình lập chỉ mục viết ra từ nội dung của issue.

Mô tả

api: analytics
Description:

When generating an SBOM and running a security scan using Grype, the build fails due to a vulnerable version of Guava (31.1-android) being pulled in transitively by firebase-analytics.

I am currently using firebase-bom: 33.9.0, which resolves firebase-analytics to 22.2.0. I noticed a similar report in #7583, but I want to highlight that simply updating to the latest firebase-analytics: 24.0.0 does not resolve this issue, as its underlying play-services-measurement-impl dependency still relies on the same vulnerable Guava version.

Vulnerabilities Flagged (Grype):

GHSA-xxph-c9ww-hj94 (High) - CompactHashMap/CompactHashSet/MapMakerInternalMap deserialization triggers uncontrolled memory allocation

GHSA-7g45-4rm6-3mm3 (Medium) - Insecure use of temporary directory

GHSA-5mg8-w23w-74h3 (Low) - Information Disclosure in Guava

Dependency Tree Context:
+--- com.google.firebase:firebase-analytics:22.2.0 (and 24.0.0)
|    +--- com.google.android.gms:play-services-measurement:22.2.0 (and 24.0.0)
|    |    +--- com.google.android.gms:play-services-measurement-impl:22.2.0 (and 24.0.0)
|    |    |    \--- com.google.guava:guava:31.1-android
Expected Behavior:

The Firebase Android SDK and its underlying Google Play Services dependencies should use a patched version of Guava (such as 33.7.2-android) to prevent CI/CD security scanners from blocking app releases.

Actual Behavior:

The SDK pulls in Guava 31.1-android, forcing developers to manually implement project-wide dependency constraints to override the version and clear security warnings.

Environment:

Firebase BOM: 33.9.0

Firebase Analytics: 22.2.0 (also verified issue exists in 24.0.0)

Scanner: Grype 0.121.0

Ngôn ngữ chính
Java
Star
2.6k
Fork
733
Merge trung bình
2 ngày 15 giờ
Pull request đã merge (30 ngày)
72

Chuẩn bị môi trường

Bắt đầu từ đâu

  1. Đọc hết issue, rồi đọc hướng dẫn đóng góp của dự án.
  2. Bình luận trên issue rằng bạn sẽ nhận — tránh hai người làm cùng một việc.
  3. Fork repository và làm thay đổi trên một nhánh.
  4. Mở pull request có tham chiếu số hiệu của issue.

Issue khác của firebase/firebase-android-sdk

Tất cả issue của firebase/firebase-android-sdk

Issue tương tự

Thêm issue về Java

Nhận issue mới trong hộp thư của bạn

Bản tóm tắt ngắn những issue GitHub phù hợp với người mới.