sdk:10.0 / sdk:10.0-noble ship libbrotli1 1.1.0-2build2 (CVE-2026-111497, fix available in noble-security)

Chiusa Adatta ai principianti
  • Qualcosa non va?
#7,466 0 commenti 0 reazioni 0 assegnatari Vedi su GitHub

I maintainer di solito rispondono entro 1 giorno

Nessuno ha ancora preso questa issue.

Valutazione

Difficoltà
2/5
Tempo stimato
1-3 ore
Idoneità per principianti
61/100
Tipo di issue
Bug
Chiarezza
Abbastanza chiara
Stato di attività
Attiva
Stack tecnologico
docker, ubuntu
Ambito
infrastructure

Direzione di ricerca

Inizia individuando i livelli Dockerfile usati per creare le immagini SDK .NET 10.0 Ubuntu Noble e identificando dove viene installato libbrotli1. Controlla la versione del pacchetto in un’immagine ricostruita con i comandi dpkg e apt-cache forniti, quindi analizzala con Trivy. Il lavoro è completato quando l’immagine SDK contiene la versione corretta del pacchetto Ubuntu e il rilievo è stato eliminato.

Scritto dal modello di indicizzazione a partire dal testo della issue.

Descrizione

untriaged

Describe the bug

The mcr.microsoft.com/dotnet/sdk:10.0 and sdk:10.0-noble images (pulled 2026-11-05) contain the Ubuntu package libbrotli1 1.1.0-2build2. Trivy reports CVE-2026-111497 (HIGH) against it. Ubuntu noble-updates/noble-security already has the fixed version 1.1.0-2ubuntu0.1.

mcr.microsoft.com/dotnet/aspnet:10.0-noble does not contain libbrotli1, so the runtime images are not affected by this package.

To reproduce

podman pull mcr.microsoft.com/dotnet/sdk:10.0-noble
podman run --rm -u root --entrypoint sh mcr.microsoft.com/dotnet/sdk:10.0-noble -c \
  "dpkg -s libbrotli1 | grep ^Version; apt-get update -qq; apt-cache policy libbrotli1 | sed -n 1,3p"
# Version: 1.1.0-2build2
# Installed: 1.1.0-2build2   Candidate: 1.1.0-2ubuntu0.1

trivy image mcr.microsoft.com/dotnet/sdk:10.0-noble --scanners vuln
# libbrotli1  CVE-2026-111497  HIGH  fixed in 1.1.0-2ubuntu0.1

Upgrading it in a derived image works:
apt-get update && apt-get install -y --only-upgrade libbrotli1 gives 1.1.0-2ubuntu0.1, and Trivy then reports no finding.

Expected behavior

The SDK images pick up the fixed libbrotli1 when they are rebuilt.

Questions

  1. Is a rebuild of the SDK images with the fixed libbrotli1 planned? From the Image Update Policy, I assume this is covered by the monthly re-build (second Tuesday, 2026-11-10), since the CVE is rated HIGH and not Critical. Is that right?
  2. ubuntu:noble does not contain libbrotli1, so a base image update would not trigger a rebuild. Is the package installed as a dependency in the SDK Dockerfile layers?

Notes

  • This is separate from the Brotli fix inside the .NET runtime (System.IO.Compression) shipped in 10.0.14; updating one does not update the other.
  • Only Ubuntu noble images were checked.

Other information

Lingua principale
Dockerfile
Stelle
4.9k
Fork
2k
Merge medio
1g 17h
PR unite (30g)
58

Preparare l'ambiente

Apri in Codespaces

Avvia il container di sviluppo del progetto nel browser, con il tuo account GitHub.

Come iniziare

  1. Leggi tutta la issue e poi la guida ai contributi del progetto.
  2. Commenta sulla issue per dire che te ne occupi tu — evita che due persone facciano lo stesso lavoro.
  3. Fai un fork del repository e lavora su un branch.
  4. Apri una pull request che faccia riferimento al numero della issue.

Altre issue di dotnet/dotnet-docker

Tutte le issue di dotnet/dotnet-docker

Issue simili

Altre issue su DevOps

Ricevi le nuove issue nella tua casella

Un breve riepilogo di issue GitHub adatte ai principianti.