Dockerfile supply chain risks?
Nadie ha tomado este issue todavía.
Evaluación
- Dificultad
- 4/5
- Tiempo estimado
- 3-5 días
- Aptitud para principiantes
- 45/100
Línea de trabajo
Comienza revisando los comandos de Dockerfile que canalizan las respuestas de curl a bash o descargan archivos de lanzamiento y paquetes. Comprueba cómo se obtiene actualmente cada dependencia y determina si se puede añadir la verificación de sumas de comprobación de forma coherente; se considera terminado cuando las descargas indicadas validan sumas de comprobación fiables antes de su ejecución o instalación.
Escrito por el modelo de indexación a partir del texto del issue.
Descripción
I'm seeing this in the Dockerfile:
RUN curl -fsSL https://claude.ai/install.sh | bash
RUN curl -fsSL https://fnm.vercel.app/install | bash -s -- ...
RUN sh -c "$(curl -fsSL https://github.com/deluan/zsh-in-docker/releases/download/v${ZSH_IN_DOCKER_VERSION}/zsh-i
And these:
curl -fsSL "https://github.com/dandavison/delta/releases/download/${GIT_DELTA_VERSION}/git-delta_${GIT_DELTA_VERSION}_${ARCH}.deb" -o /tmp/git-delta.deb
dpkg -i /tmp/git-delta.deb
curl -fsSL "https://github.com/junegunn/fzf/releases/download/v${FZF_VERSION}/fzf-${FZF_VERSION}-${FZF_ARCH}.tar.gz" | t
All of those seem like supply-chain risks. I would love to see this with checksum verification, if feasible. Given that you're security experts, I'm assuming I'm looking at this wrong, but I wanted to raise the issue and be sure. I am not a security expert.
- Lenguaje dominante
- Shell
- Estrellas
- 945
- Forks
- 103
- Merge medio
- 47 min
- PR fusionados (30 d)
- 2
Preparar el entorno
- Incluye un Dockerfile o un archivo de Docker Compose
- Sin plantilla de pull request
- Sin guía de contribución
Primeros pasos
- Lee el issue completo y luego la guía de contribución del proyecto.
- Comenta en el issue que vas a ocuparte — evita que dos personas hagan lo mismo.
- Haz un fork del repositorio y trabaja en una rama.
- Abre un pull request que haga referencia al número del issue.
Más de trailofbits/claude-code-devcontainer
-
Dificultad 5/5 Más de una semana Aptitud para principiantes 25/100
-
Dificultad 3/5 1-2 días Aptitud para principiantes 48/100
trailofbits/claude-code-devcontainer#36 · 1 comentario · 2 reacciones ·
Todos los issues de trailofbits/claude-code-devcontainer
Issues similares
-
Update vtm to 2026.9.28Abiertopackage-update
Dificultad 2/5 1-3 horas Aptitud para principiantes 72/100
oSoWoSo/vOid_Community_repOsitory#207 · 1 comentario ·
Los mantenedores suelen responder en 1 día
-
Dificultad 2/5 1-3 horas Aptitud para principiantes 78/100
alunduil/alunduil-chezmoi#815 ·
Los mantenedores suelen responder en 1 día
-
good first issue new package
Dificultad 2/5 1-3 horas Aptitud para principiantes 68/100
wimpysworld/deb-get#2035 ·
Los mantenedores suelen responder en 1 día
-
automation documentation
Dificultad 2/5 1-3 horas Aptitud para principiantes 68/100
Los mantenedores suelen responder en 1 día
-
Dificultad 1/5 Menos de una hora Aptitud para principiantes 92/100
termux/termux-packages#32085 ·
Los mantenedores suelen responder en 1 día