这是安全检测结果提示的误报吗

[murphysecurity]

这是安全检测结果提示的误报吗

[f0r]

噢，确实，4.1.63版本的netty-all并不包含netty-handler，这种场景我们也应该在方案上考虑进去

[f0r]

非常感谢您反馈这个问题，我们排查发现5.x版本组件名发生了变更，此处提示不准确，并不能直接通过升级版本解决，而需要将组件替换为io.netty:netty5-handler。当前该问题已经修复，很抱歉给您带来不好的体验。

[iohao]

https://mvnrepository.com/artifact/io.netty/netty-handler

4.1.45.Final 之后的版本应该算是正常的吧。现在用的 4.x，建议升级到 5.x ，这个建议会不会太猛了点。因为这个建议跨了大版本，而且 5.x 已经在 2015 年就暂停更新了。

---

还有一个问下，如果 murphysecurity 检测到问题了，会自动给开源软件提 issu 吗，比如现在检测到 netty-handler 有一些问题，murphysecurity 就自动给 netty 项目提 issu

[f0r]

是这样的：
1、您截图的mvnrepository这个站点收录的是公开的CVE漏洞，而这个漏洞并没有被CVE收录，所以并没有在mvnrepository的风险提示里
2、从官方issue和文档上看，该漏洞不会在4.x版本修复，而5.x版本相比之前版本改动较小，因此从安全性的角度是建议升级到5.x
3、5.x版本此前是被废弃过一段时间，后又重新启动，对应的是https://mvnrepository.com/artifact/io.netty/netty5-handler，所以说需要修改组件artifact id哈
4、目前我们不会自动提issue，我们的安全团队或者用户可能会以人工的方式提issue

[iohao]

好的，知道了！

我将项目中的 netty 版本改为 4.1.63 版本就没这个问题，没发现任何安全风险；

项目地址
https://github.com/iohao/iogame