Propral: additional base image `amazonlinux:2023`

Aberta
#904 0 comentários 2 reações 0 responsáveis Ver no GitHub

Ninguém assumiu esta issue ainda.

Avaliação

Dificuldade
5/5
Tempo estimado
Mais de uma semana
Facilidade para iniciantes
25/100
Tipo de issue
Funcionalidade
Clareza
Precisa de esclarecimento
Status de atividade
Estagnada
Stack de tecnologia
docker, linux, python
Domínio
devops, infrastructure

Direção de pesquisa

A issue não cita arquivos nem testes. Comece revisando as definições atuais das imagens Python do repositório e como as imagens base são selecionadas; em seguida, avalie se amazonlinux:2023 pode ser suportado de forma consistente. Para considerar o trabalho concluído, seria necessária uma decisão dos maintainers sobre responsabilidade, escopo do suporte e as alterações necessárias nas imagens.

Escrita pelo modelo de indexação a partir do texto da issue.

Descrição

Hey guys, first of all, thank you for the work you are doing 🙏
Docker images of python are being shipped millions of times per month (if not per day), and that's awesome 💪

As you most likely know, there is a CVE affecting MiniZip shipped with zlib affecting Debian (buster, bullseye, and bookworm): https://security-tracker.debian.org/tracker/CVE-2023-45853.

I am aware that this vulnerability is effectively impacting minizip (and not really the actual libz binary, which is the one that matters here).

This is CVE is being considered as critical by my company docker image scanner, so we've been trying to find ways to get rid of these secrutiy alerts, and, as a temporrary solution, we decided to switch from python:3.X base image, to a amazonlinux:2023[-minimal] with python3.11 installed there (version maitained by amazon).

Using Amazon Linux 2023 is removing this security alert as amazon backported the fix in its libz (c.f. Amazon document ALAS-2023-410) as the version 1.2.11-33.amzn2023.0.5.

Based on the context above, did this community though of adding amazonlinux:2023 as a base image of python images, to benefit from latest security releases?

Or maybe should it be the responsability of amazon to create such image (like they are doing with amazoncoretto)?

Cheers ✌️

This issue is not necessarily asking to support amazonlinux as a base image, but it's to open a discussion on that matter (and based on the issues of this repository, no one already brought it yet)

Linguagem predominante
Dockerfile
Estrelas
2.8k
Forks
1.1k
Merge médio
3d 1h
PRs com merge (30d)
1

Guia de contribuição

Nenhum guia de contribuição indexado para este repositório

Primeiros passos

  1. Leia a issue inteira e depois o guia de contribuição do projeto.
  2. Comente na issue dizendo que vai assumir — evita que duas pessoas façam o mesmo trabalho.
  3. Faça um fork do repositório e trabalhe em uma branch.
  4. Abra um pull request que referencie o número da issue.

Mais de docker-library/python

Todas as issues de docker-library/python

Issues semelhantes

Mais issues de DevOps

Receba novas issues na sua caixa de entrada

Um resumo curto de issues do GitHub para quem está começando.