Dockerfile supply chain risks?
Personne n'a encore pris cette issue.
Évaluation
- Difficulté
- 4/5
- Temps estimé
- 3-5 jours
- Accessibilité débutants
- 45/100
Piste de recherche
Commencez par examiner les commandes du Dockerfile qui transmettent les réponses de curl à bash ou téléchargent des archives de release et des paquets. Vérifiez comment chaque dépendance est actuellement récupérée et déterminez si la vérification des sommes de contrôle peut être ajoutée de manière cohérente ; le travail est terminé lorsque les téléchargements listés valident des sommes de contrôle de confiance avant leur exécution ou leur installation.
Rédigé par le modèle d'indexation à partir du texte de l'issue.
Description
I'm seeing this in the Dockerfile:
RUN curl -fsSL https://claude.ai/install.sh | bash
RUN curl -fsSL https://fnm.vercel.app/install | bash -s -- ...
RUN sh -c "$(curl -fsSL https://github.com/deluan/zsh-in-docker/releases/download/v${ZSH_IN_DOCKER_VERSION}/zsh-i
And these:
curl -fsSL "https://github.com/dandavison/delta/releases/download/${GIT_DELTA_VERSION}/git-delta_${GIT_DELTA_VERSION}_${ARCH}.deb" -o /tmp/git-delta.deb
dpkg -i /tmp/git-delta.deb
curl -fsSL "https://github.com/junegunn/fzf/releases/download/v${FZF_VERSION}/fzf-${FZF_VERSION}-${FZF_ARCH}.tar.gz" | t
All of those seem like supply-chain risks. I would love to see this with checksum verification, if feasible. Given that you're security experts, I'm assuming I'm looking at this wrong, but I wanted to raise the issue and be sure. I am not a security expert.
- Langage dominant
- Shell
- Étoiles
- 954
- Forks
- 106
- Métriques de merge des PR
- Aucune PR mergée en 30 j
Préparer son environnement
- Fournit un Dockerfile ou un fichier Docker Compose
- Aucun modèle de pull request
- Aucun guide de contribution
Par où commencer
- Lisez l'issue en entier, puis le guide de contribution du projet.
- Signalez en commentaire que vous la prenez — cela évite que deux personnes fassent le même travail.
- Forkez le dépôt et travaillez sur une branche.
- Ouvrez une pull request qui référence le numéro de l'issue.
Autres issues de trailofbits/claude-code-devcontainer
-
Difficulté 5/5 Plus d'une semaine Accessibilité débutants 25/100
-
Difficulté 3/5 1-2 jours Accessibilité débutants 48/100
trailofbits/claude-code-devcontainer#36 · 1 commentaire · 2 réactions ·
Toutes les issues de trailofbits/claude-code-devcontainer
Issues similaires
-
documentation needs-triage priority:medium
Difficulté 2/5 1-3 heures Accessibilité débutants 85/100
yeongseon/azure-functions-validation-python#546 ·
Les mainteneurs répondent en général sous 1 jour
-
Page request: dotnet addOuvertehelp wanted new command
Difficulté 2/5 1-3 heures Accessibilité débutants 72/100
tldr-pages/tldr#24755 ·
Les mainteneurs répondent en général sous 1 jour
-
afk-ok area:agents size:S
Difficulté 2/5 1-3 heures Accessibilité débutants 82/100
enorm-labs/event-junkie#3523 ·
Les mainteneurs répondent en général sous 1 jour
-
Container fails to start when a mounted neo4j.conf uses spaces around `=`Peut-être pris @RaphaelFakhri l’a pris aujourd’hui. Ouverte
Difficulté 2/5 1-3 heures Accessibilité débutants 78/100
neo4j/docker-neo4j#596 ·
-
Cookbook: --json recipes with jqOuvertedocumentation good first issue
Difficulté 2/5 Une demi-journée Accessibilité débutants 78/100
devdavidejesus/btc-toolkit#63 ·
Les mainteneurs répondent en général sous 1 jour