bug: fluent-bit image still ships vulnerable libbrotli1 (CVE-2026-111497)
メンテナーはふだん 2 日以内に返信
評価
- 難易度
- 2/5
- 見積もり時間
- 1〜3時間
- 初心者へのやさしさ
- 55/100
調査の方向性
Start by finding the Dockerfile and build workflow used to publish ghcr.io/fluent/fluent-operator/fluent-bit:v5.1.5, then check how its Debian 13 base image and package updates are selected. Rebuild the image and run the reported Trivy vulnerability scan; done when it includes libbrotli1 version 1.1.0-2+deb13u1 and the CVE no longer reports.
索引モデルが issue の本文から書いたものです。
説明
Describe the issue
The latest ghcr.io/fluent/fluent-operator/fluent-bit:v5.1.5 image still contains libbrotli1 version 1.1.0-2+b7, which is affected by CVE-2026-111497 (out of bounds write in the Brotli decoder).
Debian has already published a fix in 1.1.0-2+deb13u1, but the current image predates that update.
Trivy output:
Library Vulnerability Severity Status Installed Fixed
libbrotli1 CVE-2026-111497 HIGH fixed 1.1.0-2+b7 1.1.0-2+deb13u1
Could the image be rebuilt on an updated Debian 13 base so the patched libbrotli1 is picked up? Thanks.
To Reproduce
Run a vulnerability scan on the image:
trivy image --scanners vuln ghcr.io/fluent/fluent-operator/fluent-bit:v5.1.5
Library Vulnerability Severity Status Installed Fixed
libbrotli1 CVE-2026-111497 HIGH fixed 1.1.0-2+b7 1.1.0-2+deb13u1
Expected behavior
The image is rebuilt on an updated Debian 13 base so the patched libbrotli1 1.1.0-2+deb13u1 is included and the CVE no longer reports.
Your Environment
Image: ghcr.io/fluent/fluent-operator/fluent-bit:v5.1.1
Base OS: Debian 13
Scanner: Trivy
How did you install fluent operator?
No response
Additional context
No response
- 主要言語
- Go
- スター
- 689
- フォーク
- 333
- 平均マージ
- 2日 14時間
- マージ済み PR（30日）
- 41
環境構築
このプロジェクトの開発コンテナを、あなたの GitHub アカウントでブラウザ上に起動します。
- Dockerfile・Docker Compose ファイルなし
- プルリクエストのテンプレートあり
- コントリビューションガイドを読む
はじめの一歩
- issue を最後まで読み、次にプロジェクトのコントリビューションガイドを読みます。
- 着手することを issue にコメントします — 二人が同じ作業をするのを防げます。
- リポジトリをフォークし、ブランチを切って変更します。
- issue 番号を参照したプルリクエストを送ります。
fluent/fluent-operator のほかの issue
-
feat: support storage.total_limit_size for the fluent-bit forward output対応中かも @cvas22 が 1 日前に担当しました。 オープン
難易度 1/5 1〜3時間 初心者へのやさしさ 30/100
fluent/fluent-operator#2126 ·
メンテナーはふだん 2 日以内に返信
-
難易度 4/5 3〜5日 初心者へのやさしさ 48/100
fluent/fluent-operator#1990 · コメント 6 件 ·
メンテナーはふだん 2 日以内に返信
-
enhancement fluent-bit good first issue
難易度 4/5 3〜5日 初心者へのやさしさ 35/100
fluent/fluent-operator#1854 · コメント 2 件 · リアクション 1 件 ·
メンテナーはふだん 2 日以内に返信
-
Remove tag consideration from Fluentd ClusterFilter / Filter order対応中かも @cvas22 が 1 日前に担当しました。 オープン
難易度 3/5 1〜2日 初心者へのやさしさ 45/100
fluent/fluent-operator#1832 ·
メンテナーはふだん 2 日以内に返信
-
難易度 4/5 3〜5日 初心者へのやさしさ 30/100
fluent/fluent-operator#1831 ·
メンテナーはふだん 2 日以内に返信
fluent/fluent-operator の issue をすべて見る
似ている issue
-
area/docs
難易度 1/5 1時間未満 初心者へのやさしさ 86/100
meshery/meshery#23375 · コメント 1 件 ·
メンテナーはふだん 1 日以内に返信
-
ApplicationSet: BitBucket Cloud SCM provider returns corrupted error (%!w(<nil>)) when a branch has no commit hash対応中かも @AP24110011695 が今日担当しました。 オープン
難易度 2/5 1〜3時間 初心者へのやさしさ 82/100
メンテナーはふだん 1 日以内に返信
-
go good first issue help wanted up-for-grabs
難易度 2/5 1〜3時間 初心者へのやさしさ 85/100
andrewsiah/agentswarm-data-tasks#308 ·
メンテナーはふだん 1 日以内に返信
-
難易度 2/5 1〜3時間 初心者へのやさしさ 87/100
multica-ai/multica#10511 ·
メンテナーはふだん 1 日以内に返信
-
難易度 1/5 1時間未満 初心者へのやさしさ 70/100
メンテナーはふだん 1 日以内に返信