pyup.io-43366 (CVE-2021-43818) docker 基础映像中的漏洞

Question

我有一个 docker 基础镜像，上传到 quay 镜像存储库时存在漏洞 pyup.io-43366 (CVE-2021-43818)。

基础图像是

FROM quay/registry.redhat.io/rhel7:latest
MAINTAINER Me

LABEL description="Application runtime image" \
      name="Image name" \
      version="1.0"

ENV LANG en_US.UTF-8

RUN yum-config-manager  \
    && yum -y install java-11-openjdk \
    && yum -y clean all
CMD ["/bin/bash"]

有什么办法可以克服这个漏洞吗？

Answer 1

“停止使用latest”——“我应该给什么标签？”

首先，您可以使用Brandon Mitchell（ Stack Overflow 上的顶级贡献者）的regclient项目列出 rhel7 中的标签，其中：sudo-bmitch

alias dr='docker run -it --rm'
# on Windows
dockey dr=docker run -it --rm $*


dr regclient/regctl:latest tag ls registry.access.redhat.com/rhel7|\ 
  grep -Ev (source|[0-9][0-9][0-9][0-9])

（在 Windows 上：grep -Ev (source^|[0-9][0-9][0-9][0-9]): 请注意^）

其次，我没有看到最新的CVE-2021-43818 ，使用anchore/grype

docker run anchore/grype:latest registry.access.redhat.com/rhel7:latest | grep 2021

最接近的是CVE-2021-3541，发现了一个缺陷libxml2-python。

在您的情况下，考虑到 Lxml 4.6.5 包含 CVE-2021-43818 的修复程序，您将需要具有 Lxml 4.6.5+ 的映像。

如果该图像尚不存在，您可以docker build自己开始FROM registry.access.redhat.com/rhel7:7.9，并添加正确的libxml.
并将其发布到 Quay。