解決HLF官方docker鏡像漏洞

Question

我在私有雲平台 ( ubuntu20.04 LTS ) 中有一個HLF(2.2.3)網絡設置。

使用以下命令將 Docker 映像從dockerHub拉到本地雲虛擬機，

卷曲-sSL https://raw.githubusercontent.com/hyperledger/fabric/master/scripts/bootstrap.sh | bash -s -- 2.2.3 1.5.0（縮短的 url bit.ly/2ysbOFE）

當我使用“ Trivy ”工具（安裝在本地雲中）掃描拉取的圖像時，我發現了大量漏洞。

我該如何修復這些漏洞？ 我知道要花錢、購買許可證和獲得頻繁的補丁，我不想選擇那種解決方案。

尋找可以執行的方法來解決雲 VM 中的此漏洞。

試圖拉取最新的圖像並對其進行掃描，即使這些圖像也存在漏洞。

請建議。

1. 如何解決這個漏洞？
2. 在實時項目中如何處理這些問題？ （我是產品部署的新手，歡迎對此提出任何見解）。

Answer 1

如 dockerhub 上所述，已發布的 hyperledger fabric 鏡像僅用於開發和測試，不用於生產。 如果您想要那種級別的支持，那么您要么必須從提供商那里購買圖像（但正如您所說的那樣，您不想這樣做），要么您構建和維護自己的圖像並自己完成工作。 這是任何生產部署都應該做的。

需要注意的重要一點：僅僅因為掃描儀報告漏洞並不意味着您實際上容易受到攻擊。 大多數掃描器只看你有什么，而不是你正在使用什么，所以你應該對每個報告的漏洞進行風險評估，以確定你是否確實容易受到影響。