追求真正的零CVE容器镜像
💡
原文英文，约1400词，阅读约需5分钟。
📝
内容提要
追求“零CVE”容器镜像的供应商面临传统Linux发行版的结构性限制。尽管CVE是安全性的重要指标，创建安全镜像仍然具有挑战性。Chainguard等公司通过直接从源代码重建容器，力求实现零CVE状态，但依赖上游发行版的修复可能导致漏洞修复滞后，影响安全性。
🎯
关键要点
- 追求零CVE容器镜像的供应商面临传统Linux发行版的结构性限制。
- CVE是安全性的重要指标，但创建安全镜像仍然具有挑战性。
- Chainguard通过直接从源代码重建容器，力求实现零CVE状态。
- 依赖上游发行版的修复可能导致漏洞修复滞后，影响安全性。
- DHI的图像继承Debian的包集和安全策略，可能导致未修复的漏洞被标记为“未受影响”。
- Debian的“no-DSA”标记可能会误导下游用户，导致未修复的CVE被忽视。
- Chainguard的模型允许直接从源到镜像进行CVE处理，而不依赖上游发行版的时间表。
- CVE系统本身存在问题，许多CVE可能并不适用于特定环境。
- CVE计数并不足以确保镜像完全安全，零CVE并不意味着绝对安全。
➡️
