Propral: additional base image `amazonlinux:2023`

Ouverte
#904 0 commentaires 2 réactions 0 personnes assignées Voir sur GitHub

Personne n'a encore pris cette issue.

Évaluation

Difficulté
5/5
Temps estimé
Plus d'une semaine
Accessibilité débutants
25/100
Type d'issue
Fonctionnalité
Clarté
À clarifier
Activité
À l'abandon
Stack technique
docker, linux, python
Domaine
devops, infrastructure

Piste de recherche

L’issue ne mentionne aucun fichier ni test. Commencez par examiner les définitions actuelles des images Python du dépôt et la manière dont les images de base sont sélectionnées, puis évaluez si amazonlinux:2023 peut être pris en charge de manière cohérente. La finalisation nécessiterait une décision des maintainers concernant la responsabilité, le périmètre du support et les modifications d’image requises.

Rédigé par le modèle d'indexation à partir du texte de l'issue.

Description

Hey guys, first of all, thank you for the work you are doing 🙏
Docker images of python are being shipped millions of times per month (if not per day), and that's awesome 💪

As you most likely know, there is a CVE affecting MiniZip shipped with zlib affecting Debian (buster, bullseye, and bookworm): https://security-tracker.debian.org/tracker/CVE-2023-45853.

I am aware that this vulnerability is effectively impacting minizip (and not really the actual libz binary, which is the one that matters here).

This is CVE is being considered as critical by my company docker image scanner, so we've been trying to find ways to get rid of these secrutiy alerts, and, as a temporrary solution, we decided to switch from python:3.X base image, to a amazonlinux:2023[-minimal] with python3.11 installed there (version maitained by amazon).

Using Amazon Linux 2023 is removing this security alert as amazon backported the fix in its libz (c.f. Amazon document ALAS-2023-410) as the version 1.2.11-33.amzn2023.0.5.

Based on the context above, did this community though of adding amazonlinux:2023 as a base image of python images, to benefit from latest security releases?

Or maybe should it be the responsability of amazon to create such image (like they are doing with amazoncoretto)?

Cheers ✌️

This issue is not necessarily asking to support amazonlinux as a base image, but it's to open a discussion on that matter (and based on the issues of this repository, no one already brought it yet)

Langage dominant
Dockerfile
Étoiles
2.8k
Forks
1.1k
Merge moyen
3 j 1 h
PR mergées (30 j)
1

Guide de contribution

Aucun guide de contribution indexé pour ce dépôt

Par où commencer

  1. Lisez l'issue en entier, puis le guide de contribution du projet.
  2. Signalez en commentaire que vous la prenez — cela évite que deux personnes fassent le même travail.
  3. Forkez le dépôt et travaillez sur une branche.
  4. Ouvrez une pull request qui référence le numéro de l'issue.

Autres issues de docker-library/python

Toutes les issues de docker-library/python

Issues similaires

Plus d'issues DevOps

Recevez les nouvelles issues par e-mail

Un résumé court des issues GitHub adaptées aux débutants.