High severity vulnerability introduced from io.netty

[0dd]

service/pom.xml (pom)

Total: 11 (UNKNOWN: 0, LOW: 2, MEDIUM: 7, HIGH: 2, CRITICAL: 0)

┌─────────────────────────────────┬────────────────┬──────────┬────────┬───────────────────┬────────────────┬─────────────────────────────────────────────────────────────┐
│             Library             │ Vulnerability  │ Severity │ Status │ Installed Version │ Fixed Version  │                            Title                            │
├─────────────────────────────────┼────────────────┼──────────┼────────┼───────────────────┼────────────────┼─────────────────────────────────────────────────────────────┤
│ com.google.guava:guava          │ CVE-2023-2976  │ MEDIUM   │ fixed  │ 29.0-jre          │ 32.0.0-android │ guava: insecure temporary directory creation                │
│                                 │                │          │        │                   │                │ https://avd.aquasec.com/nvd/cve-2023-2976                   │
│                                 ├────────────────┼──────────┤        │                   │                ├─────────────────────────────────────────────────────────────┤
│                                 │ CVE-2020-8908  │ LOW      │        │                   │                │ guava: local information disclosure via temporary directory │
│                                 │                │          │        │                   │                │ created with unsafe permissions                             │
│                                 │                │          │        │                   │                │ https://avd.aquasec.com/nvd/cve-2020-8908                   │
├─────────────────────────────────┼────────────────┼──────────┤        ├───────────────────┼────────────────┼─────────────────────────────────────────────────────────────┤
│ io.netty:netty-common           │ CVE-2025-25193 │ MEDIUM   │        │ 4.1.117.Final     │ 4.1.118.Final  │ Denial of Service attack on windows app using Netty         │
│                                 │                │          │        │                   │                │ https://avd.aquasec.com/nvd/cve-2025-25193                  │
├─────────────────────────────────┼────────────────┼──────────┤        │                   │                ├─────────────────────────────────────────────────────────────┤
│ io.netty:netty-handler          │ CVE-2025-24970 │ HIGH     │        │                   │                │ io.netty:netty-handler: SslHandler doesn't correctly        │
│                                 │                │          │        │                   │                │ validate packets which can lead to native crash...          │
│                                 │                │          │        │                   │                │ https://avd.aquasec.com/nvd/cve-2025-24970                  │
├─────────────────────────────────┼────────────────┤          │        ├───────────────────┼────────────────┼─────────────────────────────────────────────────────────────┤
│ net.minidev:json-smart          │ CVE-2024-57699 │          │        │ 2.5.1             │ 2.5.2          │ A security issue was found in Netplex Json-smart 2.5.0      │
│                                 │                │          │        │                   │                │ through 2.5.1. ...                                          │
│                                 │                │          │        │                   │                │ https://avd.aquasec.com/nvd/cve-2024-57699                  │
├─────────────────────────────────┼────────────────┼──────────┤        ├───────────────────┼────────────────┼─────────────────────────────────────────────────────────────┤
│ org.bouncycastle:bcpkix-jdk18on │ CVE-2023-33202 │ MEDIUM   │        │ 1.72              │ 1.73           │ bc-java: Out of memory while parsing ASN.1 crafted data in  │
│                                 │                │          │        │                   │                │ org.bouncycastle.openssl.PEMParser class...                 │
│                                 │                │          │        │                   │                │ https://avd.aquasec.com/nvd/cve-2023-33202                  │
├─────────────────────────────────┼────────────────┤          │        │                   ├────────────────┼─────────────────────────────────────────────────────────────┤
│ org.bouncycastle:bcprov-jdk18on │ CVE-2023-33201 │          │        │                   │ 1.74           │ bouncycastle: potential blind LDAP injection attack using a │
│                                 │                │          │        │                   │                │ self-signed certificate                                     │
│                                 │                │          │        │                   │                │ https://avd.aquasec.com/nvd/cve-2023-33201                  │
│                                 ├────────────────┤          │        │                   ├────────────────┼─────────────────────────────────────────────────────────────┤
│                                 │ CVE-2023-33202 │          │        │                   │ 1.73           │ bc-java: Out of memory while parsing ASN.1 crafted data in  │
│                                 │                │          │        │                   │                │ org.bouncycastle.openssl.PEMParser class...                 │
│                                 │                │          │        │                   │                │ https://avd.aquasec.com/nvd/cve-2023-33202                  │
│                                 ├────────────────┤          │        │                   ├────────────────┼─────────────────────────────────────────────────────────────┤
│                                 │ CVE-2024-29857 │          │        │                   │ 1.78           │ org.bouncycastle: Importing an EC certificate with crafted  │
│                                 │                │          │        │                   │                │ F2m parameters may lead to...                               │
│                                 │                │          │        │                   │                │ https://avd.aquasec.com/nvd/cve-2024-29857                  │
│                                 ├────────────────┤          │        │                   │                ├─────────────────────────────────────────────────────────────┤
│                                 │ CVE-2024-30171 │          │        │                   │                │ bc-java: BouncyCastle vulnerable to a timing variant of     │
│                                 │                │          │        │                   │                │ Bleichenbacher (Marvin Attack)                              │
│                                 │                │          │        │                   │                │ https://avd.aquasec.com/nvd/cve-2024-30171                  │
│                                 ├────────────────┼──────────┤        │                   │                ├─────────────────────────────────────────────────────────────┤
│                                 │ CVE-2024-34447 │ LOW      │        │                   │                │ org.bouncycastle: Use of Incorrectly-Resolved Name or       │
│                                 │                │          │        │                   │                │ Reference                                                   │
│                                 │                │          │        │                   │                │ https://avd.aquasec.com/nvd/cve-2024-34447                  │
└─────────────────────────────────┴────────────────┴──────────┴────────┴───────────────────┴────────────────┴─────────────────────────────────────────────────────────────┘

[0dd]

Upgrade Springboot version from 3.4.2 to 3.4.3 to fix the high severity CVE from netty

Fix in #3188