Correções de segurança para o Protocol Buffers em fim de vida útil (EOL) em sistemas distribuídos e serviços gRPC

O ELS para Protocol Buffers oferece correções de segurança para bibliotecas de tempo de execução protobuf mais antigas em diversos ecossistemas de linguagens. A TuxCare mantém compilações corrigidas para Java, Python, PHP e JavaScript (protobufjs), de modo que os serviços que trocam mensagens protobuf possam continuar utilizando as versões com as quais foram desenvolvidos.

Para Java, protobuf 2.5.0, 2.6.1, 3.6.1, 3.7.1, 3.12.0, 3.16.1, 3.19.2, 3.19.6, 3.21.1, 3.21.7, 3.21.9 e 3.21.12. Para Python, 3.17.0, 3.20.3, 4.24.3, 4.25.8 e 4.25.9. Para PHP, 3.24.4 e 3.25.9. Para JavaScript, versões selecionadas do protobufjs, de 0.12.13 a 8.0.1. As listas atualizadas estão disponíveis em docs.tuxcare.com.

Principalmente problemas de análise, já que as bibliotecas protobuf decodificam bytes não confiáveis. Em Java, a vulnerabilidade CVE-2022-3171 permitia a negação de serviço por meio de mensagens manipuladas, e a CVE-2024-7254 causava esgotamento da pilha devido a grupos profundamente aninhados. No JavaScript, o protobufjs apresentou problemas de poluição de protótipos, como a vulnerabilidade CVE-2023-36665.

O código Protobuf gerado precisa permanecer compatível com a versão do ambiente de execução. Algumas atualizações do ambiente de execução funcionam sem a necessidade de regenerar o código, mas saltos de versão mais significativos podem exigir a atualização das classes geradas, das dependências e das ferramentas compartilhadas entre as equipes; além disso, os projetos Java da era Hadoop, em particular, continuam vinculados ao Protobuf 2.5.0. O ELS permite que você aplique correções na versão do ambiente de execução em que está, sem forçar esse trabalho.

Por meio do gerenciador de pacotes padrão de cada ecossistema. As compilações em Java são obtidas a partir de um repositório Maven da TuxCare, as em Python a partir de um índice gerenciado pela TuxCare via pip, as em PHP por meio de um repositório do Composer e as em JavaScript a partir de um registro npm da TuxCare. As etapas de instalação para cada uma delas estão disponíveis em docs.tuxcare.com.

A TuxCare estabelece um prazo de 14 dias a partir da divulgação pública para vulnerabilidades críticas e de alto risco, 60 dias para as de risco médio e 90 dias para as de baixo risco. Cada ecossistema possui um feed VEX do CycloneDX em security.tuxcare.com, que os scanners compatíveis podem utilizar para confirmar quais CVEs foram resolvidos na versão que você implanta.

Geralmente, não. O TuxCare aplica patches na versão da biblioteca de tempo de execução que você já utiliza, em vez de migrar você para uma nova linha de versões; portanto, as classes geradas existentes, criadas para essa versão, devem continuar funcionando. A mudança ocorre na configuração de dependências, e não nos esquemas ou nos códigos-fonte gerados; no entanto, realizar testes antes da implantação continua sendo uma boa prática.