fluent-bit image still ships vulnerable libbrotli1 (CVE-2026-111497)

Abierto Apto para principiantes
  • ¿Algo no está bien?
#12,683 2 comentarios 6 reacciones 0 asignados Ver en GitHub

Los mantenedores suelen responder en 1 día

Nadie ha tomado este issue todavía.

Evaluación

Dificultad
2/5
Tiempo estimado
1-3 horas
Aptitud para principiantes
72/100
Tipo de issue
Error
Claridad
Bien especificado
Estado de actividad
Activo
Stack tecnológico
c, debian, docker
Área
devops, security

Línea de trabajo

El issue identifica la imagen publicada ghcr.io/fluent/fluent-operator/fluent-bit:v5.1.5 y su base Debian 13 como origen del paquete vulnerable libbrotli1. Empieza por localizar la configuración de compilación de la imagen y comprobar cómo se actualiza su imagen base. Vuelve a compilar la imagen con el paquete de Debian corregido, escanéala después con el comando de Trivy indicado y confirma que CVE-2026-111497 ya no aparece.

Escrito por el modelo de indexación a partir del texto del issue.

Descripción

status: waiting-for-triage

Bug Report

Describe the bug
The published fluent-bit image ghcr.io/fluent/fluent-operator/fluent-bit:v5.1.5 still ships libbrotli1 1.1.0-2+b7, which is affected by CVE-2026-111497 (out of bounds write in the Brotli decoder). Debian already released a fix in 1.1.0-2+deb13u1, but the current image predates that update.

To Reproduce

  • Rubular link if applicable: N/A
  • Example log message if applicable: N/A
  • Steps to reproduce the problem:
    Scan the image for vulnerabilities:

trivy image --scanners vuln ghcr.io/fluent/fluent-operator/fluent-bit:v5.1.5

Library Vulnerability Severity Status Installed Fixed
libbrotli1 CVE-2026-111497 HIGH fixed 1.1.0-2+b7 1.1.0-2+deb13u1

Expected behavior
The image is rebuilt on an updated Debian 13 base so the patched libbrotli1 1.1.0-2+deb13u1 is included and the CVE no longer reports.

Screenshots
N/A

Your Environment

  • Version used: fluent-bit image v5.1.5
  • Configuration: default image, no custom build
  • Environment name and version (e.g. Kubernetes? What version?): N/A
  • Server type and version: N/A
  • Operating System and version: Debian 13 (base image)
  • Filters and plugins: N/A

Additional context
This is a HIGH severity CVE pulled in through the base OS package rather than fluent-bit code. A rebuild on a current Debian 13 base clears it.

Lenguaje dominante
C
Estrellas
8.2k
Forks
2k
Merge medio
3 d 20 h
PR fusionados (30 d)
99

Preparar el entorno

Abrir en Codespaces

Inicia el contenedor de desarrollo del proyecto en tu navegador, con tu propia cuenta de GitHub.

Primeros pasos

  1. Lee el issue completo y luego la guía de contribución del proyecto.
  2. Comenta en el issue que vas a ocuparte — evita que dos personas hagan lo mismo.
  3. Haz un fork del repositorio y trabaja en una rama.
  4. Abre un pull request que haga referencia al número del issue.

Más de fluent/fluent-bit

Todos los issues de fluent/fluent-bit

Issues similares

Más issues de C

Recibe los nuevos issues en tu correo

Un resumen breve de issues de GitHub para principiantes.