Dockerfile supply chain risks?
Nessuno ha ancora preso questa issue.
Valutazione
- Difficoltà
- 4/5
- Tempo stimato
- 3-5 giorni
- Idoneità per principianti
- 45/100
Direzione di ricerca
Inizia esaminando i comandi del Dockerfile che inviano le risposte di curl a bash o scaricano archivi di release e pacchetti. Verifica come viene attualmente recuperata ogni dipendenza e determina se è possibile aggiungere la verifica dei checksum in modo coerente; il lavoro è completato quando i download elencati convalidano checksum attendibili prima dell'esecuzione o dell'installazione.
Scritto dal modello di indicizzazione a partire dal testo della issue.
Descrizione
I'm seeing this in the Dockerfile:
RUN curl -fsSL https://claude.ai/install.sh | bash
RUN curl -fsSL https://fnm.vercel.app/install | bash -s -- ...
RUN sh -c "$(curl -fsSL https://github.com/deluan/zsh-in-docker/releases/download/v${ZSH_IN_DOCKER_VERSION}/zsh-i
And these:
curl -fsSL "https://github.com/dandavison/delta/releases/download/${GIT_DELTA_VERSION}/git-delta_${GIT_DELTA_VERSION}_${ARCH}.deb" -o /tmp/git-delta.deb
dpkg -i /tmp/git-delta.deb
curl -fsSL "https://github.com/junegunn/fzf/releases/download/v${FZF_VERSION}/fzf-${FZF_VERSION}-${FZF_ARCH}.tar.gz" | t
All of those seem like supply-chain risks. I would love to see this with checksum verification, if feasible. Given that you're security experts, I'm assuming I'm looking at this wrong, but I wanted to raise the issue and be sure. I am not a security expert.
- Lingua principale
- Shell
- Stelle
- 943
- Fork
- 103
- Merge medio
- 47m
- PR unite (30g)
- 2
Guida per i contributori
Nessuna guida per i contributori indicizzata per questo repository
Come iniziare
- Leggi tutta la issue e poi la guida ai contributi del progetto.
- Commenta sulla issue per dire che te ne occupi tu — evita che due persone facciano lo stesso lavoro.
- Fai un fork del repository e lavora su un branch.
- Apri una pull request che faccia riferimento al numero della issue.
Altre issue di trailofbits/claude-code-devcontainer
-
Difficoltà 5/5 Più di una settimana Idoneità per principianti 25/100
-
Difficoltà 3/5 1-2 giorni Idoneità per principianti 48/100
trailofbits/claude-code-devcontainer#36 · 1 commento · 2 reazioni ·
Tutte le issue di trailofbits/claude-code-devcontainer
Issue simili
-
Update Vish to 1.1.5 Apertapackage-update
Difficoltà 2/5 1-3 ore Idoneità per principianti 78/100
oSoWoSo/vOid_Community_repOsitory#144 · 1 commento ·
-
help wanted new command
Difficoltà 2/5 1-3 ore Idoneità per principianti 72/100
tldr-pages/tldr#24151 ·
-
PacReq: Rune IDE Apertapackage request
Difficoltà 2/5 1-3 ore Idoneità per principianti 68/100
pacstall/pacstall-programs#9402 ·
-
[BUG] ci: the first prefetch-images.sh call runs before shard.txt exists, so it is always a no-op Apertabug github-actions
Difficoltà 2/5 1-3 ore Idoneità per principianti 82/100
-
update-request
Difficoltà 2/5 1-3 ore Idoneità per principianti 72/100
msys2/MINGW-packages#31768 ·