bug: fluent-bit image still ships vulnerable libbrotli1 (CVE-2026-111497)
维护者通常 1 天内回复
评估
- 难度
- 2/5
- 预计耗时
- 1-3 小时
- 新手友好度
- 55/100
调研方向
Start by finding the Dockerfile and build workflow used to publish ghcr.io/fluent/fluent-operator/fluent-bit:v5.1.5, then check how its Debian 13 base image and package updates are selected. Rebuild the image and run the reported Trivy vulnerability scan; done when it includes libbrotli1 version 1.1.0-2+deb13u1 and the CVE no longer reports.
由索引模型根据 Issue 内容生成。
描述
Describe the issue
The latest ghcr.io/fluent/fluent-operator/fluent-bit:v5.1.5 image still contains libbrotli1 version 1.1.0-2+b7, which is affected by CVE-2026-111497 (out of bounds write in the Brotli decoder).
Debian has already published a fix in 1.1.0-2+deb13u1, but the current image predates that update.
Trivy output:
Library Vulnerability Severity Status Installed Fixed
libbrotli1 CVE-2026-111497 HIGH fixed 1.1.0-2+b7 1.1.0-2+deb13u1
Could the image be rebuilt on an updated Debian 13 base so the patched libbrotli1 is picked up? Thanks.
To Reproduce
Run a vulnerability scan on the image:
trivy image --scanners vuln ghcr.io/fluent/fluent-operator/fluent-bit:v5.1.5
Library Vulnerability Severity Status Installed Fixed
libbrotli1 CVE-2026-111497 HIGH fixed 1.1.0-2+b7 1.1.0-2+deb13u1
Expected behavior
The image is rebuilt on an updated Debian 13 base so the patched libbrotli1 1.1.0-2+deb13u1 is included and the CVE no longer reports.
Your Environment
Image: ghcr.io/fluent/fluent-operator/fluent-bit:v5.1.1
Base OS: Debian 13
Scanner: Trivy
How did you install fluent operator?
No response
Additional context
No response
- 主要语言
- Go
- 星标
- 689
- 派生
- 333
- 平均合并
- 2 天 6 小时
- 30 天内合并 PR
- 43
环境准备
在浏览器里用你自己的 GitHub 账号启动这个项目的开发容器。
- 没有 Dockerfile 或 Docker Compose 文件
- 有 Pull Request 模板
- 阅读贡献指南
从这里开始
- 先读完整个 Issue，再读项目的贡献指南。
- 在 Issue 下留言说明你要接手 —— 这能避免两个人做同样的事。
- Fork 仓库，在一个分支上完成修改。
- 提交 Pull Request，并在描述里引用这个 Issue 编号。
fluent/fluent-operator 的其他 Issue
-
feat: support the Fluent Bit type_converter filter可能已有人在做 @NopeCharon 今天认领。 未关闭
难度 4/5 3-5 天 新手友好度 65/100
fluent/fluent-operator#2131 ·
维护者通常 1 天内回复
-
难度 4/5 3-5 天 新手友好度 48/100
fluent/fluent-operator#1990 · 9 条评论 ·
维护者通常 1 天内回复
-
enhancement fluent-bit good first issue
难度 4/5 3-5 天 新手友好度 35/100
fluent/fluent-operator#1854 · 2 条评论 · 1 个 reaction ·
维护者通常 1 天内回复
-
Remove tag consideration from Fluentd ClusterFilter / Filter order可能已有人在做 @cvas22 于 1 天前认领。 未关闭
难度 3/5 1-2 天 新手友好度 45/100
fluent/fluent-operator#1832 ·
维护者通常 1 天内回复
-
难度 4/5 3-5 天 新手友好度 30/100
fluent/fluent-operator#1831 ·
维护者通常 1 天内回复
查看 fluent/fluent-operator 的全部 Issue
相似的 Issue
-
automated-triage type/bug type/ci
难度 2/5 1-3 小时 新手友好度 78/100
维护者通常 1 天内回复
-
难度 1/5 1 小时以内 新手友好度 75/100
hashicorp/terraform-provider-google#30678 ·
维护者通常 1 天内回复
-
难度 2/5 1-3 小时 新手友好度 83/100
ethereum-optimism/optimism#24120 ·
维护者通常 1 天内回复
-
area/docs
难度 1/5 1 小时以内 新手友好度 86/100
meshery/meshery#23375 · 1 条评论 ·
维护者通常 1 天内回复
-
ApplicationSet: BitBucket Cloud SCM provider returns corrupted error (%!w(<nil>)) when a branch has no commit hash可能已有人在做 @AP24110011695 今天认领。 未关闭
难度 2/5 1-3 小时 新手友好度 82/100
维护者通常 1 天内回复