ثغرة حرجة في أداة apt تتيح تجاوز التحقق من الحزم عبر الـ redirect وإعادة المحاولة
المغزى: الثغرة لا تخص الخوادم وحدها، بل كل image تُبنى فوق Debian أو Ubuntu، لأن سطر apt-get update ثم apt-get install موجود في أغلب ملفات Dockerfile.
شرح تقني: الـ container في Docker عملية Linux عادية تجمع خمس ميزات في النواة، والـ image مجلد
المغزى: فهم الـ container كعملية لا كجهاز صغير يغيّر طريقة تشخيص أعطاله، فالبحث يصبح عن namespace أو cgroup أو mount مضبوط بشكل خاطئ لا عن جهاز معطل.
Docker تطلق Docker Agent: تعريف الـ agent في ملف YAML ونشره عبر أي OCI registry
المغزى: حين يصبح الـ agent ملفًا له إصدار يُخزَّن ويُراجَع في الـ registry نفسه مع صور الحاويات، يتحول من سكربت على جهاز أحد أعضاء الفريق إلى جزء معروف من البنية.
أداة omnibin تعرض 51,468 برنامجًا من nixpkgs على الـ PATH دون تثبيت أي منها
بيئة تحتوي كل الأدوات من اللحظة الأولى قد تحل مشكلة متكررة في تشغيل الـ agents داخل sandbox، حيث يضيع الوقت في تثبيت أدوات ناقصة وكسر البيئة.
Docker تنقل مواصفة صلاحيات الـ agents إلى CNCF لتصبح معيارًا محايدًا
المعيار الذي تملكه شركة واحدة يتغير حين تتغير سياستها، ونقله إلى جهة محايدة يعني أن قواعد صلاحيات الـ agents لن تُحسم في غرفة واحدة.
توكن GitHub بقي مكشوفًا 3 سنوات داخل سجل بناء صورة Docker لدى Baseten
حذف ملف الأسرار بعد البناء لا يمحو شيئًا إذا كانت قيمة التوكن قد كُتبت في أمر البناء نفسه، لأنها تُحفظ في بيانات الصورة الوصفية لا في طبقاتها.
OpenSSL تصدر أربعة إصدارات أمنية في يوم واحد وجزء كبير من الإصلاحات في QUIC
مكتبة لا يحدّثها أحد يدويًا تصل إلى الخوادم عبر الـ base image، فالفرق بين فريق محمي وآخر مكشوف يصبح موعد آخر إعادة بناء لا موعد قراءة الخبر.