Update to gosu 1.20 (moby/sys/user v0.4.1, GO-2026-6686)
Nadie ha tomado este issue todavía.
Evaluación
- Dificultad
- 1/5
- Tiempo estimado
- 1-3 horas
- Aptitud para principiantes
- 80/100
Línea de trabajo
El issue menciona 17/alpine3.23/Dockerfile como ejemplo y dice que las imágenes actuales establecen GOSU_VERSION en 1.19. Empieza por comprobar esa versión y la actualización anterior de la versión en #1201; después, busca las declaraciones de versión correspondientes en los directorios de imágenes. Actualízalas a gosu 1.20 y comprueba que las definiciones de las imágenes usen de forma coherente la versión solicitada.
Escrito por el modelo de indexación a partir del texto del issue.
Descripción
gosu 1.20 was released on 2026-10-25 (https://github.com/tianon/gosu/releases/tag/1.20). The current images still set ENV GOSU_VERSION 1.19, for example 17/alpine3.23/Dockerfile.
gosu 1.19 links github.com/moby/sys/user v0.1.0, which is affected by GO-2026-6686 / CVE-2026-61801 (possible denial of service through unbounded parsing of user and group database files, fixed in v0.4.1). 1.20 links v0.4.1.
govulncheck v1.9.0 in binary mode on the linux/arm64 binaries:
| gosu 1.19 | gosu 1.20 | |
|---|---|---|
moby/sys/user |
v0.1.0 | v0.4.1 |
| GO-2026-6686 | reported, with symbols GetExecUser, GetExecUserPath, ParseGroupFilter |
not reported |
gosu does call this code at container start through GetExecUserPath. On the files the image ships, root-owned and read at start-up, I see no practical attack, so this is not a report of an exploitable issue in these images. It is a request to pick up a release that already exists.
Would you take gosu 1.20, as was done for earlier gosu releases (for example #1201)? Both binaries are built with Go 1.24.6, so this does not change the Go standard library findings scanners report. #1304 and #1350 are about those and about replacing gosu; this request is only the version bump.
- Lenguaje dominante
- Shell
- Estrellas
- 2.5k
- Forks
- 1.2k
- Métricas de merge de PR
- Sin PR fusionados en 30 d
Preparar el entorno
Este proyecto no incluye contenedor de desarrollo, Dockerfile ni guía de contribución, así que la configuración corre por tu cuenta: empieza por su README y consulta nuestra guía para la primera contribución para los pasos generales.
Primeros pasos
- Lee el issue completo y luego la guía de contribución del proyecto.
- Comenta en el issue que vas a ocuparte — evita que dos personas hagan lo mismo.
- Haz un fork del repositorio y trabaja en una rama.
- Abre un pull request que haga referencia al número del issue.
Más de docker-library/postgres
-
Dificultad 2/5 1-3 horas Aptitud para principiantes 72/100
docker-library/postgres#1427 ·
-
Dificultad 4/5 3-5 días Aptitud para principiantes 48/100
docker-library/postgres#1420 ·
-
Dificultad 4/5 3-5 días Aptitud para principiantes 48/100
docker-library/postgres#1419 · 2 comentarios ·
-
Dificultad 4/5 3-5 días Aptitud para principiantes 35/100
docker-library/postgres#1389 ·
-
Dificultad 2/5 1-3 horas Aptitud para principiantes 35/100
docker-library/postgres#1356 · 5 comentarios · 7 reacciones ·
Todos los issues de docker-library/postgres
Issues similares
-
Dificultad 1/5 Menos de una hora Aptitud para principiantes 82/100
-
Dificultad 1/5 Menos de una hora Aptitud para principiantes 72/100
raetha/wyzesense2mqtt#116 ·
-
Dificultad 1/5 Menos de una hora Aptitud para principiantes 62/100
-
enhancement
Dificultad 2/5 1-3 horas Aptitud para principiantes 75/100
catppuccin/tmux#608 ·
-
area:linux source:reader type:content-error
Dificultad 1/5 Menos de una hora Aptitud para principiantes 72/100
stephrobert/blog-roadmap#185 ·