cube-js/cube

Docker scan for V0.32 reported 4 critical vulnerabilities (75 in total) - SOC2 T2 assessment

Open

#6.340 geöffnet am 23. März 2023

Auf GitHub ansehen
 (3 Kommentare) (1 Reaktion) (1 zugewiesene Person)Rust (1.965 Forks)batch import
help wantedsecurity

Repository-Metriken

Stars
 (19.563 Stars)
PR-Merge-Metriken
 (Durchschn. Merge 5T 16h) (138 gemergte PRs in 30 T)

Beschreibung

Describe the bug We are in the process of a SOC2 T2 audit. Part of the process is a vulnerability assessment of all images, and containers.

We ran a static scan on the latest (0.32) Docker image version. Based on the scans from Docker that latest version has 75 vulnerabilities, and 4 of those are critical. See image below.

Most likely, these vulnerabilities will have an impact on other organizations aldo running formal security audits. As per our SOC2, critical vulnerabilities have an SLA for resolution of 14 days.

This issue was communicated via Slack. @keydunov asked us to file this Github issue.

To Reproduce Open Docker Desktop and run scan

Screenshot 2023-03-23 at 9 51 23 AM

Version: V0.32.14

Contributor Guide

Research-Richtung
Identifizieren Sie die genauen Abhängigkeiten, die die kritischen Schwachstellen verursachen, und aktualisieren Sie sie auf gepatchte Versionen. Verwenden Sie ein Tool wie `docker scout` oder `trivy`, um detaillierte CVE Informationen für das cube js/cube Image zu erhalten. Lokalisieren Sie dann die entsprechenden Pakete im Abhängigkeitsbaum des Rust Projekts und aktualisieren Sie sie auf die neuesten sicheren Versionen.
Tech Stack
rustdocker
Domain
backendsecurity
Issue Type
Fehler
SchwierigkeitGeschätzte Implementierungsschwierigkeit für neue Contributors, von 1 für sehr kleine Änderungen bis 5 für Expertenarbeit.
3
Geschätzte ZeitEin grober Zeitrahmen, um zu recherchieren, zu implementieren, zu testen und einen Pull Request vorzubereiten.
3-5 Tage
AktivitätsstatusWie verfügbar das Issue gerade wirkt: frisch, aktiv, stale, blockiert oder wartet auf Maintainer-Input.
Aktiv
KlarheitWie klar das Issue die erwartete Änderung, Akzeptanzkriterien und den nächsten Schritt erklärt.
Klar
Voraussetzungen
DockerSecurity basics
EinsteigerfreundlichkeitEin Score von 1 bis 100, der schätzt, wie zugänglich dieses Issue für First-Time Contributors ist.
60