Update to gosu 1.20 (moby/sys/user v0.4.1, GO-2026-6686)

Đang mở Phù hợp với người mới
  • Có gì không ổn?
#1,425 2 bình luận 0 reaction 0 người được giao Xem trên GitHub

Chưa có ai nhận issue này.

Đánh giá

Độ khó
1/5
Thời gian dự kiến
1-3 giờ
Mức phù hợp với người mới
80/100
Loại issue
Lỗi
Độ rõ ràng
Đặc tả rõ ràng
Mức độ hoạt động
Sôi nổi
Công nghệ
docker, go
Lĩnh vực
devops

Hướng nghiên cứu

Issue nêu 17/alpine3.23/Dockerfile làm ví dụ và cho biết các image hiện tại đặt GOSU_VERSION thành 1.19. Trước tiên, hãy kiểm tra phiên bản đó và lần cập nhật release trước trong #1201, sau đó tìm các khai báo phiên bản tương ứng trong các thư mục image. Cập nhật chúng lên gosu 1.20 và kiểm tra xem các định nghĩa image có sử dụng nhất quán release được yêu cầu hay không.

Do mô hình lập chỉ mục viết ra từ nội dung của issue.

Mô tả

gosu 1.20 was released on 2026-10-25 (https://github.com/tianon/gosu/releases/tag/1.20). The current images still set ENV GOSU_VERSION 1.19, for example 17/alpine3.23/Dockerfile.

gosu 1.19 links github.com/moby/sys/user v0.1.0, which is affected by GO-2026-6686 / CVE-2026-61801 (possible denial of service through unbounded parsing of user and group database files, fixed in v0.4.1). 1.20 links v0.4.1.

govulncheck v1.9.0 in binary mode on the linux/arm64 binaries:

gosu 1.19 gosu 1.20
moby/sys/user v0.1.0 v0.4.1
GO-2026-6686 reported, with symbols GetExecUser, GetExecUserPath, ParseGroupFilter not reported

gosu does call this code at container start through GetExecUserPath. On the files the image ships, root-owned and read at start-up, I see no practical attack, so this is not a report of an exploitable issue in these images. It is a request to pick up a release that already exists.

Would you take gosu 1.20, as was done for earlier gosu releases (for example #1201)? Both binaries are built with Go 1.24.6, so this does not change the Go standard library findings scanners report. #1304 and #1350 are about those and about replacing gosu; this request is only the version bump.

Ngôn ngữ chính
Shell
Star
2.5k
Fork
1.2k
Không có pull request nào được merge trong 30 ngày

Chuẩn bị môi trường

Dự án này không cung cấp dev container, Dockerfile hay hướng dẫn đóng góp, nên bạn cần tự thiết lập môi trường: hãy bắt đầu từ README và xem hướng dẫn đóng góp lần đầu của chúng tôi để biết các bước chung.

Bắt đầu từ đâu

  1. Đọc hết issue, rồi đọc hướng dẫn đóng góp của dự án.
  2. Bình luận trên issue rằng bạn sẽ nhận — tránh hai người làm cùng một việc.
  3. Fork repository và làm thay đổi trên một nhánh.
  4. Mở pull request có tham chiếu số hiệu của issue.

Issue khác của docker-library/postgres

Tất cả issue của docker-library/postgres

Issue tương tự

Thêm issue về Shell/Bash

Nhận issue mới trong hộp thư của bạn

Bản tóm tắt ngắn những issue GitHub phù hợp với người mới.