search

tomsquest / docker-radicale

Docker image for Radicale calendar and contact server :calendar: + security :closed_lock_with_key: + addons :rocket:
GNU General Public License v3.0
562 stars 80 forks source link

chore: Alpine version bump 3.17.2 -> 3.17.3 as 3.17.2 has 2 critical vulnerabilities #131

Closed dillbyrne closed 1 year ago

dillbyrne commented 1 year ago

Hi Tom, Thanks for your hard work on this. I just noticed the following vulns are patched in alpine 3.17.3 so made a quick PR to bump the version.

tomsquest/docker-radicale:3.1.8.1 (alpine 3.17.2)
=================================================
Total: 18 (UNKNOWN: 0, LOW: 0, MEDIUM: 8, HIGH: 8, CRITICAL: 2)

┌────────────┬────────────────┬──────────┬───────────────────┬───────────────┬────────────────────────────────────────────────────────────┐
│  Library   │ Vulnerability  │ Severity │ Installed Version │ Fixed Version │                           Title                            │
├────────────┼────────────────┼──────────┼───────────────────┼───────────────┼────────────────────────────────────────────────────────────┤
│ curl       │ CVE-2023-27536 │ CRITICAL │ 7.87.0-r2         │ 7.88.1-r1     │ curl: GSS delegation too eager connection re-use           │
│            │                │          │                   │               │ https://avd.aquasec.com/nvd/cve-2023-27536                 │
│            ├────────────────┼──────────┤                   │               ├────────────────────────────────────────────────────────────┤
│            │ CVE-2023-27533 │ HIGH     │                   │               │ curl: TELNET option IAC injection                          │
│            │                │          │                   │               │ https://avd.aquasec.com/nvd/cve-2023-27533                 │
│            ├────────────────┤          │                   │               ├────────────────────────────────────────────────────────────┤
│            │ CVE-2023-27534 │          │                   │               │ curl: SFTP path ~ resolving discrepancy                    │
│            │                │          │                   │               │ https://avd.aquasec.com/nvd/cve-2023-27534                 │
│            ├────────────────┤          │                   │               ├────────────────────────────────────────────────────────────┤
│            │ CVE-2023-27535 │          │                   │               │ FTP too eager connection reuse                             │
│            │                │          │                   │               │ https://avd.aquasec.com/nvd/cve-2023-27535                 │
│            ├────────────────┼──────────┤                   │               ├────────────────────────────────────────────────────────────┤
│            │ CVE-2023-27537 │ MEDIUM   │                   │               │ curl: HSTS double-free                                     │
│            │                │          │                   │               │ https://avd.aquasec.com/nvd/cve-2023-27537                 │
│            ├────────────────┤          │                   │               ├────────────────────────────────────────────────────────────┤
│            │ CVE-2023-27538 │          │                   │               │ curl: SSH connection too eager reuse still                 │
│            │                │          │                   │               │ https://avd.aquasec.com/nvd/cve-2023-27538                 │
├────────────┼────────────────┼──────────┼───────────────────┼───────────────┼────────────────────────────────────────────────────────────┤
│ libcrypto3 │ CVE-2023-0464  │ HIGH     │ 3.0.8-r0          │ 3.0.8-r1      │ Denial of service by excessive resource usage in verifying │
│            │                │          │                   │               │ X509 policy constraints...                                 │
│            │                │          │                   │               │ https://avd.aquasec.com/nvd/cve-2023-0464                  │
│            ├────────────────┼──────────┤                   ├───────────────┼────────────────────────────────────────────────────────────┤
│            │ CVE-2023-0465  │ MEDIUM   │                   │ 3.0.8-r2      │ Invalid certificate policies in leaf certificates are      │
│            │                │          │                   │               │ silently ignored                                           │
│            │                │          │                   │               │ https://avd.aquasec.com/nvd/cve-2023-0465                  │
│            ├────────────────┤          │                   ├───────────────┼────────────────────────────────────────────────────────────┤
│            │ CVE-2023-0466  │          │                   │ 3.0.8-r3      │ Certificate policy check not enabled                       │
│            │                │          │                   │               │ https://avd.aquasec.com/nvd/cve-2023-0466                  │
├────────────┼────────────────┼──────────┼───────────────────┼───────────────┼────────────────────────────────────────────────────────────┤
│ libcurl    │ CVE-2023-27536 │ CRITICAL │ 7.87.0-r2         │ 7.88.1-r1     │ curl: GSS delegation too eager connection re-use           │
│            │                │          │                   │               │ https://avd.aquasec.com/nvd/cve-2023-27536                 │
│            ├────────────────┼──────────┤                   │               ├────────────────────────────────────────────────────────────┤
│            │ CVE-2023-27533 │ HIGH     │                   │               │ curl: TELNET option IAC injection                          │
│            │                │          │                   │               │ https://avd.aquasec.com/nvd/cve-2023-27533                 │
│            ├────────────────┤          │                   │               ├────────────────────────────────────────────────────────────┤
│            │ CVE-2023-27534 │          │                   │               │ curl: SFTP path ~ resolving discrepancy                    │
│            │                │          │                   │               │ https://avd.aquasec.com/nvd/cve-2023-27534                 │
│            ├────────────────┤          │                   │               ├────────────────────────────────────────────────────────────┤
│            │ CVE-2023-27535 │          │                   │               │ FTP too eager connection reuse                             │
│            │                │          │                   │               │ https://avd.aquasec.com/nvd/cve-2023-27535                 │
│            ├────────────────┼──────────┤                   │               ├────────────────────────────────────────────────────────────┤
│            │ CVE-2023-27537 │ MEDIUM   │                   │               │ curl: HSTS double-free                                     │
│            │                │          │                   │               │ https://avd.aquasec.com/nvd/cve-2023-27537                 │
│            ├────────────────┤          │                   │               ├────────────────────────────────────────────────────────────┤
│            │ CVE-2023-27538 │          │                   │               │ curl: SSH connection too eager reuse still                 │
│            │                │          │                   │               │ https://avd.aquasec.com/nvd/cve-2023-27538                 │
├────────────┼────────────────┼──────────┼───────────────────┼───────────────┼────────────────────────────────────────────────────────────┤
│ libssl3    │ CVE-2023-0464  │ HIGH     │ 3.0.8-r0          │ 3.0.8-r1      │ Denial of service by excessive resource usage in verifying │
│            │                │          │                   │               │ X509 policy constraints...                                 │
│            │                │          │                   │               │ https://avd.aquasec.com/nvd/cve-2023-0464                  │
│            ├────────────────┼──────────┤                   ├───────────────┼────────────────────────────────────────────────────────────┤
│            │ CVE-2023-0465  │ MEDIUM   │                   │ 3.0.8-r2      │ Invalid certificate policies in leaf certificates are      │
│            │                │          │                   │               │ silently ignored                                           │
│            │                │          │                   │               │ https://avd.aquasec.com/nvd/cve-2023-0465                  │
│            ├────────────────┤          │                   ├───────────────┼────────────────────────────────────────────────────────────┤
│            │ CVE-2023-0466  │          │                   │ 3.0.8-r3      │ Certificate policy check not enabled                       │
│            │                │          │                   │               │ https://avd.aquasec.com/nvd/cve-2023-0466                  │
└────────────┴────────────────┴──────────┴───────────────────┴───────────────┴────────────────────────────────────────────────────────────┘
tomsquest commented 1 year ago

Thanks @dillbyrne !

tomsquest commented 1 year ago

Will be released as 3.1.8.2 soon.

dillbyrne commented 1 year ago

Thanks @tomsquest :+1: