Package.json and package-lock,json are not scanned on a nginx image

Aperta
  • Qualcosa non va?
#19,633 3 commenti 0 reazioni 0 assegnatari Vedi su GitHub

I maintainer di solito rispondono entro 1 giorno

Nessuno ha ancora preso questa issue.

Valutazione

Difficoltà
4/5
Tempo stimato
3-5 giorni
Idoneità per principianti
35/100
Tipo di issue
Bug
Chiarezza
Da chiarire
Stato di attività
Tranquilla
Stack tecnologico
angular, docker, go, javascript, nginx, typescript
Ambito
devops, security

Direzione di ricerca

Start by reproducing the report with the example Dockerfile, including package.json and package-lock.json at the image root, and compare StackRox 4.10.0 results with Trivy. Check how StackRox discovers JavaScript and TypeScript manifests in nginx images; done means confirming whether this is configuration, an unsupported scan case, or a product defect and recording the expected behavior.

Scritto dal modello di indicizzazione a partire dal testo della issue.

Descrizione

Hey guys,
we are using stackrox 4.10.0 to check our kubernetes environment for CVEs. We are building SPAs with Angular and copy the generated JS/HTML into NGINX images.

Package.json on nginx
When we also put the package.json and package-lock.json into the root folder of the NGINX image, then no CVEs from the JavaScript/TypeScript workloads appear. We expect to see the same issues in stackrox as in trivy during the build of angular. We only see the issues from the underlying linux.

We are seeing this as well with .net images (where the .net dlls in a dotnet baseimage won't trigger any CVE alerts, only the issues from the underlying linux are shown.).

As we are just starting with stackrox, this could be a configuration mistake as well.

Example Dockerfile:

FROM corporateregistry,io/baseimages/nginx:latest
ARG NGINX_CONFIG_PATH=./workspace/nginx/default/default.conf
ARG APP_NAME=startseite
ARG APP_ROOTFOLDER=./workspace/dist/apps/

EXPOSE 8080

ENV APP_NAME=${APP_NAME}
ENV NGINX_ENVSUBST_TEMPLATE_DIR=/usr/share/nginx/html/browser/assets
ENV NGINX_ENVSUBST_OUTPUT_DIR=/usr/share/nginx/html/browser/assets
ENV NGINX_ENVSUBST_TEMPLATE_SUFFIX=.template

COPY ./workspace/package.json /package.json
COPY ./workspace/package-lock.json /package-lock.json
COPY ${NGINX_CONFIG_PATH} /etc/nginx/conf.d/
COPY ${APP_ROOTFOLDER}/${APP_NAME} /usr/share/nginx/html

Thanks in advance

Lingua principale
Go
Stelle
1.3k
Fork
194
Merge medio
2g 20h
PR unite (30g)
392

Preparare l'ambiente

Come iniziare

  1. Leggi tutta la issue e poi la guida ai contributi del progetto.
  2. Commenta sulla issue per dire che te ne occupi tu — evita che due persone facciano lo stesso lavoro.
  3. Fai un fork del repository e lavora su un branch.
  4. Apri una pull request che faccia riferimento al numero della issue.

Altre issue di stackrox/stackrox

Tutte le issue di stackrox/stackrox

Issue simili

Altre issue su Go

Ricevi le nuove issue nella tua casella

Un breve riepilogo di issue GitHub adatte ai principianti.