Spring Cloud嵌入式Netty服务器安全漏洞解决方案问询

我通过spring-cloud-dependencies:2020.0.4引入了spring-cloud-starter-gateway和spring-boot-starter-webflux依赖，将项目打包为Docker镜像，所有路由规则均通过Spring Cloud的RouteLocatorBuilder实现。
使用Grype扫描该镜像时检测到了若干Netty相关漏洞，目前最新的reactor-netty-http:1.0.13版本仍未覆盖这些问题，需要可行的解决建议。

后续更新 #

我已经向Grype官方提交了反馈做进一步排查，目前确认这些漏洞属于扫描误报，我已经在项目BOM中强制引入最新版本的netty作为临时处理方案。

• 优先核验漏洞真实性：镜像扫描工具常出现依赖版本误匹配的情况，可先通过mvn dependency:tree命令输出项目实际引入的Netty全量版本，和对应CVE披露的受影响版本做比对，确认是否真的存在安全风险
• 临时过检方案：如果确认是误报但需要满足安全扫描要求，可在项目依赖管理节点强制指定Netty的安全版本，覆盖Spring Cloud传递依赖引入的默认版本，Maven配置参考如下：

<dependencyManagement>
    <dependencies>
        <!-- 全局强制Netty版本 -->
        <dependency>
            <groupId>io.netty</groupId>
            <artifactId>netty-bom</artifactId>
            <version>符合安全要求的版本号</version>
            <type>pom</type>
            <scope>import</scope>
        </dependency>
    </dependencies>
</dependencyManagement>

• 长期处理方案：
  • 等待reactor-netty官方发布正式修复版本，直接升级对应依赖即可
  • 调整Grype扫描规则，将已确认的误报CVE加入忽略列表，避免正常构建被拦截

内容的提问来源于stack exchange，提问作者Georgian