fluent-bit image still ships vulnerable libbrotli1 (CVE-2026-111497)

Đang mở Phù hợp với người mới
  • Có gì không ổn?
#12,683 2 bình luận 6 reaction 0 người được giao Xem trên GitHub

Maintainer thường phản hồi trong vòng 1 ngày

Chưa có ai nhận issue này.

Đánh giá

Độ khó
2/5
Thời gian dự kiến
1-3 giờ
Mức phù hợp với người mới
72/100
Loại issue
Lỗi
Độ rõ ràng
Đặc tả rõ ràng
Mức độ hoạt động
Sôi nổi
Công nghệ
c, debian, docker
Lĩnh vực
devops, security

Hướng nghiên cứu

Issue xác định image đã phát hành ghcr.io/fluent/fluent-operator/fluent-bit:v5.1.5 và nền Debian 13 của image này là nguồn gốc của gói dễ bị tấn công libbrotli1. Trước tiên, hãy tìm cấu hình build image và kiểm tra cách image nền được cập nhật. Build lại image với gói Debian đã được sửa lỗi, sau đó quét image bằng lệnh Trivy được báo cáo và xác nhận CVE-2026-111497 không còn xuất hiện.

Do mô hình lập chỉ mục viết ra từ nội dung của issue.

Mô tả

status: waiting-for-triage

Bug Report

Describe the bug
The published fluent-bit image ghcr.io/fluent/fluent-operator/fluent-bit:v5.1.5 still ships libbrotli1 1.1.0-2+b7, which is affected by CVE-2026-111497 (out of bounds write in the Brotli decoder). Debian already released a fix in 1.1.0-2+deb13u1, but the current image predates that update.

To Reproduce

  • Rubular link if applicable: N/A
  • Example log message if applicable: N/A
  • Steps to reproduce the problem:
    Scan the image for vulnerabilities:

trivy image --scanners vuln ghcr.io/fluent/fluent-operator/fluent-bit:v5.1.5

Library Vulnerability Severity Status Installed Fixed
libbrotli1 CVE-2026-111497 HIGH fixed 1.1.0-2+b7 1.1.0-2+deb13u1

Expected behavior
The image is rebuilt on an updated Debian 13 base so the patched libbrotli1 1.1.0-2+deb13u1 is included and the CVE no longer reports.

Screenshots
N/A

Your Environment

  • Version used: fluent-bit image v5.1.5
  • Configuration: default image, no custom build
  • Environment name and version (e.g. Kubernetes? What version?): N/A
  • Server type and version: N/A
  • Operating System and version: Debian 13 (base image)
  • Filters and plugins: N/A

Additional context
This is a HIGH severity CVE pulled in through the base OS package rather than fluent-bit code. A rebuild on a current Debian 13 base clears it.

Ngôn ngữ chính
C
Star
8.2k
Fork
2k
Merge trung bình
3 ngày 20 giờ
Pull request đã merge (30 ngày)
99

Chuẩn bị môi trường

Mở trong Codespaces

Khởi chạy dev container của dự án ngay trên trình duyệt, bằng tài khoản GitHub của bạn.

Bắt đầu từ đâu

  1. Đọc hết issue, rồi đọc hướng dẫn đóng góp của dự án.
  2. Bình luận trên issue rằng bạn sẽ nhận — tránh hai người làm cùng một việc.
  3. Fork repository và làm thay đổi trên một nhánh.
  4. Mở pull request có tham chiếu số hiệu của issue.

Issue khác của fluent/fluent-bit

Tất cả issue của fluent/fluent-bit

Issue tương tự

Thêm issue về C

Nhận issue mới trong hộp thư của bạn

Bản tóm tắt ngắn những issue GitHub phù hợp với người mới.