alerte de sécurité rapporté par trivy
Je viens de faire un audit trivy, et il se trouve que trivy rapporte une alerte de sécurité :
lutim/snapshot:develop (alpine 3.15.8)
=============================================================================
Total: 0 (UNKNOWN: 0, LOW: 0, MEDIUM: 0, HIGH: 0, CRITICAL: 0)
/home/lutim/local/lib/perl5/Mojo/IOLoop/resources/server.key (secrets)
======================================================================
Total: 1 (UNKNOWN: 0, LOW: 0, MEDIUM: 0, HIGH: 1, CRITICAL: 0)
HIGH: AsymmetricPrivateKey (private-key)
════════════════════════════════════════
Asymmetric Private Key
────────────────────────────────────────
/home/lutim/local/lib/perl5/Mojo/IOLoop/resources/server.key:1 (added by 'RUN apk --no-cache add perl~=5 ')
────────────────────────────────────────
1 [ -----BEGIN RSA PRIVATE KEY-----**********************************************************************************************************************************************************************************************************************************************************************************************************************************************************************************************************************************************************************************************************************************************************************************************************************************************************************************************************************************************************************************************************************************************************-----END RSA PRIVATE KEY-----
2
Je ne sais pas si le soucis est corrigeable, ou si c'est un faux positif, mais si vous voyez un élément à corriger, je n'aurais pas rapporté ça pour rien.
L'audit est fait sur l'image Docker, et résulte de la commande suivante :
RUN apk --no-cache add perl~=5 \
libpq~=14 \
perl-crypt-rijndael~=1 \
perl-io-socket-ssl~=2 \
perl-net-ssleay~=1 \
su-exec~=0.2 \
shared-mime-info~=2 \
libretls~=3 \
imagemagick~=7 \
imagemagick-perlmagick~=7 \
bash~=~5 \
&& apk --no-cache add --virtual .build-deps build-base~=0.5 \
perl-utils~=5 \
perl-dev~=5 \
postgresql14-dev~=14 \
vim~=8 \
wget~=1 \
zlib-dev~=1 \
&& cpan notest Carton Config::FromHash \
&& carton install --without test \
&& apk del .build-deps \
&& rm -rf /var/cache/apk/* /root/.cpan*
Je pense donc que le problème provient du paquet CPAN IOLoop
.
Edited by Ploc