Hacktoberfest 2026: những issue maintainer đã đánh dấu cho tháng Mười, đang mở và phù hợp người mới. Xem issue Hacktoberfest

Fix CVE-2024-45337: Update golang.org/x/crypto in statsd_exporter to >= v0.31.0

Đang mở
  • Có gì không ổn?
#1,480 0 bình luận 0 reaction 0 người được giao Xem trên GitHub

Maintainer thường phản hồi trong vòng 2 ngày

Chưa có ai nhận issue này.

Đánh giá

Độ khó
4/5
Thời gian dự kiến
3-5 ngày
Mức phù hợp với người mới
45/100
Loại issue
Lỗi
Độ rõ ràng
Khá rõ ràng
Mức độ hoạt động
Ít trao đổi
Công nghệ
docker, go
Lĩnh vực
build-system, devops, security

Hướng nghiên cứu

Bắt đầu với boil-config.toml và superset/README.md để xác định phiên bản, tệp constraints, thư mục patch và các đầu vào để rebuild statsd_exporter. Thực hiện theo các lệnh build và test được liệt kê, bao gồm kiểm tra Trivy và các smoke test của operator. Được xem là hoàn tất khi image đã rebuild không có phát hiện CVE-2024-45337, các test áp dụng đều đạt và các cập nhật release-note bắt buộc được liên kết.

Do mô hình lập chỉ mục viết ra từ nội dung của issue.

Mô tả

Fix CVE-2024-45337: Update golang.org/x/crypto in statsd_exporter to >= v0.31.0

Part of https://github.com/stackabletech/docker-images/issues/xxx

Problem

The stackable/statsd_exporter image embedded in the Superset product image contains a CRITICAL vulnerability:

CVE Library Installed Fixed Severity
CVE-2024-45337 golang.org/x/crypto v0.27.0 v0.31.0 CRITICAL

Description: Misuse of ServerConfig.PublicKeyCallback may cause authorization bypass in golang.org/x/crypto/ssh. See: https://avd.aquasec.com/nvd/cve-2024-45337

This CVE is present in both:

  • oci.stackable.tech/sdp/superset:4.1.4-stackable26.3.0
  • oci.stackable.tech/sdp/superset:6.0.0-stackable26.3.0

The statsd_exporter binary is compiled with golang.org/x/crypto v0.27.0. The fix requires rebuilding the binary with golang.org/x/crypto >= v0.31.0.

Note: While statsd_exporter does not expose SSH functionality and the vulnerable PublicKeyCallback code path is not reachable at runtime, the vulnerability still triggers CRITICAL findings in standard security scanners (Trivy, Wiz, etc.), blocking internal compliance and image promotion pipelines.

  • Add: statsd_exporter built with golang.org/x/crypto >= v0.31.0
  • Remove: statsd_exporter built with golang.org/x/crypto v0.27.0

[!TIP] Please add the scheduled-for/YY.M.X label, and add to the Stackable Engineering project.

Update tasks

  • [ ] Update boil-config.toml to reflect the agreed upon versions in the spreadsheet (including the removal of old versions).
  • [ ] Create a new constraints file (see superset/README.md).
  • [ ] Create a file: superset/stackable/patches/x.y.z/.gitkeep, add patches if applicable.
  • [ ] Delete old constraint files and patch directories.
  • [ ] Update golang.org/x/crypto dependency in statsd_exporter to >= v0.31.0 and rebuild the binary.
  • [ ] Update other dependencies if applicable (e.g. python, auth_lib, cyclonedx-bom, etc).
  • [ ] Check other operators (getting_started / kuttl / supported-versions) for usage of the versions. Add the PR(s) to the list below.
  • [ ] Ensure prerequisites are up to date (required-external-components.adoc).
  • [ ] Update the version in demos. Add the PR(s) to the list below.

Related Pull Requests

[!TIP] Delete any items that do not apply so that all applicable items can be checked.

  • Link to the docker-images PR (statsd_exporter rebuild with patched crypto)
  • Link to the operator PR (getting_started / kuttl / supported-versions)
  • Link to any other operator PRs (getting_started / kuttl)
  • Link to demo PR (raise against the main branch)
  • Link to the Release Notes PR in the documentation repo (if not a comment below)

Acceptance

[!TIP] This list should be completed by the assignee(s), once respective PRs have been merged. Once all items have been checked, the issue can be moved into Development: Done.

  • [ ] Can build image (either locally, or in CI)
  • [ ] Trivy scan of rebuilt image shows CVE-2024-45337 resolved (no CRITICAL findings for golang.org/x/crypto)
  • [ ] All kuttl tests pass (either locally, or in CI)
  • [ ] Release notes added to documentation and linked as a PR above
  • [ ] Release notes written in a comment below
  • [ ] Applicable release-note label added to this issue
<details> <summary>Testing instructions</summary> 
# Verify the CVE is resolved after rebuild
trivy image oci.stackable.tech/sdp/superset:x.y.z-stackable0.0.0-dev | grep CVE-2024-45337
# Should return no results

Standard image build and test


Where x.y.z is the new version added in this PR


boil build superset=x.y.z --strip-architecture --load

kind load docker-image oci.stackable.tech/sdp/superset:x.y.z-stackable0.0.0-dev


Change directory into the superset-operator repository and update the


product version in tests/test-definition.yaml


./scripts/run-tests --test-suite smoke-latest # or similar

</details>

Please consider updating this template if these instructions are wrong, or could be made clearer.

# Fix CVE-2024-45337: Update `golang.org/x/crypto` in `statsd_exporter` to >= v0.31.0

Part of https://github.com/stackabletech/docker-images/issues/xxx

Ngôn ngữ chính
Dockerfile
Star
22
Fork
7
Merge trung bình
3 ngày 15 giờ
Pull request đã merge (30 ngày)
33

Chuẩn bị môi trường

  • Không có Dockerfile hay tệp Docker Compose
  • Có mẫu pull request
  • Không có hướng dẫn đóng góp

Bắt đầu từ đâu

  1. Đọc hết issue, rồi đọc hướng dẫn đóng góp của dự án.
  2. Bình luận trên issue rằng bạn sẽ nhận — tránh hai người làm cùng một việc.
  3. Fork repository và làm thay đổi trên một nhánh.
  4. Mở pull request có tham chiếu số hiệu của issue.

Issue khác của stackabletech/docker-images

Tất cả issue của stackabletech/docker-images

Issue tương tự

Thêm issue về Build System

Nhận issue mới trong hộp thư của bạn

Bản tóm tắt ngắn những issue GitHub phù hợp với người mới.