manually build gosu with current golang image to resolve CVE (pull/1323)
还没有人认领这个 Issue。
评估
- 难度
- 4/5
- 预计耗时
- 3-5 天
- 新手友好度
- 35/100
- Issue 类型
- 缺陷
- 描述清晰度
- 基本清楚
- 活跃度
- 停滞
- 技术栈
- docker, go
- 领域
- build-system, security
调研方向
首先检查 pull/1323 以及生成 usr/local/bin/gosu 的 Postgres 镜像构建入口。对生成的镜像运行 trivy image --scanners vuln，并将其发现结果与报告的 CVE 进行比较。当镜像使用以受支持的 Go 版本构建的 gosu 二进制文件，且报告的漏洞已得到解决时，即视为完成。
由索引模型根据 Issue 内容生成。
描述
https://github.com/docker-library/postgres/pull/1323
trivy image --scanners vuln
shows that we'll get rid of the following CVE's
usr/local/bin/gosu (gobinary)
Total: 58 (UNKNOWN: 0, LOW: 1, MEDIUM: 23, HIGH: 31, CRITICAL: 3)
gosu security policy https://github.com/tianon/gosu/blob/master/SECURITY.md says they don't update golang for CVE's
So gosu is build with a unsupported version of go (1.20)
The two support go versions that have the most CVE's resolved are 1.23.6 and 1.24.0
I felt using 1.23.6 was a safer upgrade.
Your own documents talk about gosu, and I believe gosu hase a fundamental misunderstanding about what a vulnerability free govulncheck means. I understand it to mean that you don't have any external dependencies with vulnerabilities, not that you shouldn't update compiler versions. They are 2 different things.
This PR removes the CVE caused by gosu by doing a custom build of gosu with a currently supported go version.
And copies it into the final image.
Thanks for your consideration
- 主要语言
- Shell
- 星标
- 2.5k
- 派生
- 1.2k
- PR 合并指标
- 30 天内没有已合并 PR
环境准备
这个项目没有提供开发容器、Dockerfile 或贡献指南，环境需要你自己搭建：先看它的 README，通用步骤见我们的新手贡献指南。
从这里开始
- 先读完整个 Issue，再读项目的贡献指南。
- 在 Issue 下留言说明你要接手 —— 这能避免两个人做同样的事。
- Fork 仓库，在一个分支上完成修改。
- 提交 Pull Request，并在描述里引用这个 Issue 编号。
docker-library/postgres 的其他 Issue
-
难度 4/5 3-5 天 新手友好度 48/100
docker-library/postgres#1420 ·
-
难度 4/5 3-5 天 新手友好度 48/100
docker-library/postgres#1419 · 2 条评论 ·
-
难度 4/5 3-5 天 新手友好度 35/100
docker-library/postgres#1389 ·
-
难度 2/5 1-3 小时 新手友好度 35/100
docker-library/postgres#1356 · 5 条评论 · 7 个 reaction ·
-
难度 4/5 3-5 天 新手友好度 25/100
docker-library/postgres#1355 · 10 条评论 · 11 个 reaction ·
查看 docker-library/postgres 的全部 Issue
相似的 Issue
-
难度 1/5 1 小时以内 新手友好度 65/100
-
难度 1/5 1 小时以内 新手友好度 78/100
-
good first issue packaging
难度 2/5 1-3 小时 新手友好度 85/100
-
help wanted let's document new command
难度 2/5 1-3 小时 新手友好度 76/100
tldr-pages/tldr#24773 · 1 条评论 ·
维护者通常 1 天内回复
-
bug
难度 2/5 1-3 小时 新手友好度 63/100
维护者通常 1 天内回复