Hacktoberfest 2026: le issue che i maintainer hanno segnato per ottobre, aperte e adatte ai principianti. Sfoglia le issue Hacktoberfest

go.mod pins vulnerable docker/containerd modules; two open Dependabot PRs clear most findings

Aperta
  • Qualcosa non va?
#569 0 commenti 0 reazioni 0 assegnatari Vedi su GitHub

Nessuno ha ancora preso questa issue.

Valutazione

Difficoltà
4/5
Tempo stimato
3-5 giorni
Idoneità per principianti
45/100
Tipo di issue
Bug
Chiarezza
Abbastanza chiara
Stato di attività
Attiva
Stack tecnologico
docker, go
Ambito
devops, security

Direzione di ricerca

Inizia da go.mod, poi esamina le PR di Dependabot #562 e #550 ed esegui la scansione indicata trivy fs . per verificarne l’impatto. Esamina l’issue #506 e i dettagli di module-path di docker/docker prima di valutare la migrazione rimanente. Il lavoro è completato quando i due aggiornamenti delle dipendenze sono convalidati e il percorso da seguire per la lacuna rimanente nelle vulnerabilità è documentato.

Scritto dal modello di indicizzazione a partire dal testo della issue.

Descrizione

Hi, and thanks for maintaining this project.

Running trivy fs . (v0.69.3, vulnerability DB as of 2026-09-07) against the repo root reports findings on go.mod's indirect docker/containerd pins:

Pinned module Findings Fixed in
github.com/containerd/containerd v1.7.13 CVE-2024-25621 (HIGH) + several MEDIUM 1.7.33
github.com/docker/cli v25.0.3+incompatible CVE-2025-15558 (HIGH) 29.2.0
github.com/docker/docker v27.1.1+incompatible CVE-2026-41567, CVE-2026-42306 (HIGH); CVE-2026-33997, CVE-2026-41568 (MEDIUM) no fixed release on this module path

Anyone importing container-structure-test as a Go library inherits these into their SBOM and scan results, so the go.mod pins have some reach beyond the CLI itself.

The good news is that two of the three rows are already solved by open Dependabot PRs:

  • #562 (containerd 1.7.13 → 1.7.33) clears the containerd findings.
  • #550 (docker/cli 25.0.3 → 29.2.0) clears CVE-2025-15558.

I can confirm both bumps compile and pass tests against the library import surface in a downstream consumer, so merging those two looks like a quick win.

github.com/docker/docker is the remaining gap, and it is a migration rather than a bump: the module path is deprecated as of Engine v29, its highest tag (v28.5.2+incompatible) is still affected by the four CVEs above (so #506 would not remediate them), and the fixes ship only on the maintained moby v2 module line.

Filing this mainly to make the picture easy to act on.

Lingua principale
Go
Stelle
2.5k
Fork
213
Nessuna PR unita negli ultimi 30g

Preparare l'ambiente

Come iniziare

  1. Leggi tutta la issue e poi la guida ai contributi del progetto.
  2. Commenta sulla issue per dire che te ne occupi tu — evita che due persone facciano lo stesso lavoro.
  3. Fai un fork del repository e lavora su un branch.
  4. Apri una pull request che faccia riferimento al numero della issue.

Altre issue di GoogleContainerTools/container-structure-test

Tutte le issue di GoogleContainerTools/container-structure-test

Issue simili

Altre issue su Go

Ricevi le nuove issue nella tua casella

Un breve riepilogo di issue GitHub adatte ai principianti.