Update to gosu 1.20 (moby/sys/user v0.4.1, GO-2026-6686)
Personne n'a encore pris cette issue.
Évaluation
- Difficulté
- 1/5
- Temps estimé
- 1-3 heures
- Accessibilité débutants
- 80/100
Piste de recherche
L’issue cite 17/alpine3.23/Dockerfile en exemple et indique que les images actuelles définissent GOSU_VERSION à 1.19. Commencez par vérifier cette version et la précédente mise à jour de version dans #1201, puis recherchez les déclarations de version correspondantes dans les répertoires des images. Mettez-les à jour vers gosu 1.20 et vérifiez que les définitions des images utilisent toutes la version demandée.
Rédigé par le modèle d'indexation à partir du texte de l'issue.
Description
gosu 1.20 was released on 2026-10-25 (https://github.com/tianon/gosu/releases/tag/1.20). The current images still set ENV GOSU_VERSION 1.19, for example 17/alpine3.23/Dockerfile.
gosu 1.19 links github.com/moby/sys/user v0.1.0, which is affected by GO-2026-6686 / CVE-2026-61801 (possible denial of service through unbounded parsing of user and group database files, fixed in v0.4.1). 1.20 links v0.4.1.
govulncheck v1.9.0 in binary mode on the linux/arm64 binaries:
| gosu 1.19 | gosu 1.20 | |
|---|---|---|
moby/sys/user |
v0.1.0 | v0.4.1 |
| GO-2026-6686 | reported, with symbols GetExecUser, GetExecUserPath, ParseGroupFilter |
not reported |
gosu does call this code at container start through GetExecUserPath. On the files the image ships, root-owned and read at start-up, I see no practical attack, so this is not a report of an exploitable issue in these images. It is a request to pick up a release that already exists.
Would you take gosu 1.20, as was done for earlier gosu releases (for example #1201)? Both binaries are built with Go 1.24.6, so this does not change the Go standard library findings scanners report. #1304 and #1350 are about those and about replacing gosu; this request is only the version bump.
- Langage dominant
- Shell
- Étoiles
- 2.5k
- Forks
- 1.2k
- Métriques de merge des PR
- Aucune PR mergée en 30 j
Préparer son environnement
Ce projet ne fournit ni conteneur de développement, ni Dockerfile, ni guide de contribution : l'installation est à votre charge. Commencez par son README, et consultez notre guide de la première contribution pour les étapes générales.
Par où commencer
- Lisez l'issue en entier, puis le guide de contribution du projet.
- Signalez en commentaire que vous la prenez — cela évite que deux personnes fassent le même travail.
- Forkez le dépôt et travaillez sur une branche.
- Ouvrez une pull request qui référence le numéro de l'issue.
Autres issues de docker-library/postgres
-
Difficulté 2/5 1-3 heures Accessibilité débutants 72/100
docker-library/postgres#1427 ·
-
Difficulté 4/5 3-5 jours Accessibilité débutants 48/100
docker-library/postgres#1420 ·
-
Difficulté 4/5 3-5 jours Accessibilité débutants 48/100
docker-library/postgres#1419 · 2 commentaires ·
-
Difficulté 4/5 3-5 jours Accessibilité débutants 35/100
docker-library/postgres#1389 ·
-
Difficulté 2/5 1-3 heures Accessibilité débutants 35/100
docker-library/postgres#1356 · 5 commentaires · 7 réactions ·
Toutes les issues de docker-library/postgres
Issues similaires
-
Difficulté 1/5 Moins d'une heure Accessibilité débutants 82/100
-
Difficulté 1/5 Moins d'une heure Accessibilité débutants 72/100
raetha/wyzesense2mqtt#116 ·
-
Difficulté 1/5 Moins d'une heure Accessibilité débutants 62/100
-
enhancement
Difficulté 2/5 1-3 heures Accessibilité débutants 75/100
catppuccin/tmux#608 ·
-
area:linux source:reader type:content-error
Difficulté 1/5 Moins d'une heure Accessibilité débutants 72/100
stephrobert/blog-roadmap#185 ·