Update to gosu 1.20 (moby/sys/user v0.4.1, GO-2026-6686)
Dieses Issue hat noch niemand übernommen.
Bewertung
- Schwierigkeit
- 1/5
- Geschätzter Aufwand
- 1-3 Stunden
- Anfängerfreundlichkeit
- 80/100
Rechercherichtung
Das Issue nennt 17/alpine3.23/Dockerfile als Beispiel und sagt, dass die aktuellen Images GOSU_VERSION auf 1.19 setzen. Prüfe zunächst diese Version und das frühere Release-Update in #1201 und suche dann in den Image-Verzeichnissen nach den entsprechenden Versionsdeklarationen. Aktualisiere sie auf gosu 1.20 und prüfe, ob die Image-Definitionen durchgängig das angeforderte Release verwenden.
Vom Indexierungsmodell aus dem Issue-Text verfasst.
Beschreibung
gosu 1.20 was released on 2026-10-25 (https://github.com/tianon/gosu/releases/tag/1.20). The current images still set ENV GOSU_VERSION 1.19, for example 17/alpine3.23/Dockerfile.
gosu 1.19 links github.com/moby/sys/user v0.1.0, which is affected by GO-2026-6686 / CVE-2026-61801 (possible denial of service through unbounded parsing of user and group database files, fixed in v0.4.1). 1.20 links v0.4.1.
govulncheck v1.9.0 in binary mode on the linux/arm64 binaries:
| gosu 1.19 | gosu 1.20 | |
|---|---|---|
moby/sys/user |
v0.1.0 | v0.4.1 |
| GO-2026-6686 | reported, with symbols GetExecUser, GetExecUserPath, ParseGroupFilter |
not reported |
gosu does call this code at container start through GetExecUserPath. On the files the image ships, root-owned and read at start-up, I see no practical attack, so this is not a report of an exploitable issue in these images. It is a request to pick up a release that already exists.
Would you take gosu 1.20, as was done for earlier gosu releases (for example #1201)? Both binaries are built with Go 1.24.6, so this does not change the Go standard library findings scanners report. #1304 and #1350 are about those and about replacing gosu; this request is only the version bump.
- Vorherrschende Sprache
- Shell
- Sterne
- 2.5k
- Forks
- 1.2k
- PR-Merge-Kennzahlen
- Keine gemergten PRs in 30 T.
Entwicklungsumgebung
Dieses Projekt bietet weder Dev-Container noch Dockerfile noch Beitragsleitfaden – die Einrichtung liegt bei Ihnen. Beginnen Sie mit der README; die allgemeinen Schritte stehen in unserem Leitfaden für den ersten Beitrag.
Erste Schritte
- Lesen Sie das ganze Issue und danach den Beitragsleitfaden des Projekts.
- Schreiben Sie ins Issue, dass Sie es übernehmen — das erspart doppelte Arbeit.
- Forken Sie das Repository und arbeiten Sie in einem Branch.
- Öffnen Sie einen Pull Request, der die Issue-Nummer nennt.
Mehr aus docker-library/postgres
-
Schwierigkeit 2/5 1-3 Stunden Anfängerfreundlichkeit 72/100
docker-library/postgres#1427 ·
-
Schwierigkeit 4/5 3-5 Tage Anfängerfreundlichkeit 48/100
docker-library/postgres#1420 ·
-
Schwierigkeit 4/5 3-5 Tage Anfängerfreundlichkeit 48/100
docker-library/postgres#1419 · 2 Kommentare ·
-
Schwierigkeit 4/5 3-5 Tage Anfängerfreundlichkeit 35/100
docker-library/postgres#1389 ·
-
Schwierigkeit 2/5 1-3 Stunden Anfängerfreundlichkeit 35/100
docker-library/postgres#1356 · 5 Kommentare · 7 Reaktionen ·
Alle Issues in docker-library/postgres
Ähnliche Issues
-
Schwierigkeit 1/5 Unter einer Stunde Anfängerfreundlichkeit 82/100
-
Schwierigkeit 1/5 Unter einer Stunde Anfängerfreundlichkeit 72/100
raetha/wyzesense2mqtt#116 ·
-
Schwierigkeit 1/5 Unter einer Stunde Anfängerfreundlichkeit 62/100
-
enhancement
Schwierigkeit 2/5 1-3 Stunden Anfängerfreundlichkeit 75/100
catppuccin/tmux#608 ·
-
area:linux source:reader type:content-error
Schwierigkeit 1/5 Unter einer Stunde Anfängerfreundlichkeit 72/100
stephrobert/blog-roadmap#185 ·