Comments (5)
噢,确实,4.1.63版本的netty-all并不包含netty-handler,这种场景我们也应该在方案上考虑进去
from murphysec.
非常感谢您反馈这个问题,我们排查发现5.x版本组件名发生了变更,此处提示不准确,并不能直接通过升级版本解决,而需要将组件替换为io.netty:netty5-handler。当前该问题已经修复,很抱歉给您带来不好的体验。
from murphysec.
https://mvnrepository.com/artifact/io.netty/netty-handler
4.1.45.Final 之后的版本应该算是正常的吧。现在用的 4.x,建议升级到 5.x ,这个建议会不会太猛了点。因为这个建议跨了大版本,而且 5.x 已经在 2015 年就暂停更新了。
还有一个问下,如果 murphysecurity 检测到问题了,会自动给开源软件提 issu 吗,比如现在检测到 netty-handler 有一些问题,murphysecurity 就自动给 netty 项目提 issu
from murphysec.
是这样的:
1、您截图的mvnrepository这个站点收录的是公开的CVE漏洞,而这个漏洞并没有被CVE收录,所以并没有在mvnrepository的风险提示里
2、从官方issue和文档上看,该漏洞不会在4.x版本修复,而5.x版本相比之前版本改动较小,因此从安全性的角度是建议升级到5.x
3、5.x版本此前是被废弃过一段时间,后又重新启动,对应的是https://mvnrepository.com/artifact/io.netty/netty5-handler,所以说需要修改组件artifact id哈
4、目前我们不会自动提issue,我们的安全团队或者用户可能会以人工的方式提issue
from murphysec.
好的,知道了!
我将项目中的 netty 版本改为 4.1.63 版本就没这个问题,没发现任何安全风险;
项目地址
https://github.com/iohao/iogame
from murphysec.
Related Issues (20)
- [Feature] Add language support? HOT 8
- :bomb: `Bug`: 使用 3.0.1 时,输出到文件中的内容与控制台不同,比如文件中的内容比控制台少最后一段 HOT 4
- [Feature] 增加 maven 项目识别的准确性
- Jenkins集成的文档怎么没有了?:open_book: `Docs`: HOT 3
- :bomb: `Bug`: 使用IDEA最新版插件时,遇到了【插件认证不成功】的报错提示Bug HOT 1
- :open_book: `Docs`: HOT 1
- log4j-core-2.14.0.jar,fastjson-1.2.80.jar检测没测出maven标注的异常,这是bug还是我哪里操作不对?
- :bomb: `Bug`: git提交的时候,取消MurphySec Scan,下次git再提交,仍然选中状态 HOT 2
- 感觉没什么用 HOT 3
- 希望能直接扫描jar包 HOT 1
- 是否支持badge HOT 2
- [Idea插件] 当使用了dependencyManagement统计指定了版本号时, 间接依赖的旧版本组件依然会被扫描到? HOT 2
- 扫描的非真实依赖版本 HOT 3
- 请问CLI是否收费 HOT 1
- goland 2022.1.3 安全模式下安装插件报错, 错误如下. 虽然报错但是插件可以正常使用 HOT 1
- gitlab支持么? HOT 3
- test :bomb: `Bug`:
- idea 插件提示建议 HOT 1
- [Feature] 接口查询扫描结果solutions字段为空 HOT 5
Recommend Projects
-
React
A declarative, efficient, and flexible JavaScript library for building user interfaces.
-
Vue.js
🖖 Vue.js is a progressive, incrementally-adoptable JavaScript framework for building UI on the web.
-
Typescript
TypeScript is a superset of JavaScript that compiles to clean JavaScript output.
-
TensorFlow
An Open Source Machine Learning Framework for Everyone
-
Django
The Web framework for perfectionists with deadlines.
-
Laravel
A PHP framework for web artisans
-
D3
Bring data to life with SVG, Canvas and HTML. 📊📈🎉
-
Recommend Topics
-
javascript
JavaScript (JS) is a lightweight interpreted programming language with first-class functions.
-
web
Some thing interesting about web. New door for the world.
-
server
A server is a program made to process requests and deliver data to clients.
-
Machine learning
Machine learning is a way of modeling and interpreting data that allows a piece of software to respond intelligently.
-
Visualization
Some thing interesting about visualization, use data art
-
Game
Some thing interesting about game, make everyone happy.
Recommend Org
-
Facebook
We are working to build community through open source technology. NB: members must have two-factor auth.
-
Microsoft
Open source projects and samples from Microsoft.
-
Google
Google ❤️ Open Source for everyone.
-
Alibaba
Alibaba Open Source for everyone
-
D3
Data-Driven Documents codes.
-
Tencent
China tencent open source team.
from murphysec.