GitLab CI/CD流水线zlib1g库CVE-2023-45853漏洞处置问询

问题概述 #

GitLab CI/CD流水线使用的debian:12基础镜像中，zlib1g库（版本1:1.2.13.dfsg-1）存在CVE-2023-45853高危漏洞，Trivy、GitLab内置扫描器标记该漏洞状态为will_not_fix，常规升级操作无法修复。

环境信息 #

• CI/CD平台：GitLab CI
• 受影响库：zlib1g（版本1:1.2.13.dfsg-1）
• 漏洞状态：will_not_fix
• 基础镜像：debian:12
• 扫描工具：Trivy、GitLab内置扫描器

已尝试无效操作 #

• 执行apt-get upgrade -y zlib1g无可用修复包
• 查阅Librem5 zlib1g文档未找到替代补丁
• 升级Python至3.11无法解决问题
• 确认无业务代码直接依赖zlib1g
• 未找到可用替代库或已补丁版本

解决/缓解方案 #

1. 手动编译补丁版zlib #

官方源无修复包时，可手动编译包含漏洞修复的zlib版本替换系统库：

• 构建阶段添加以下步骤：

  # 安装编译依赖
  apt-get update && apt-get install -y build-essential
  # 下载含CVE修复的zlib版本（如1.2.14，已修复该漏洞）
  wget https://zlib.net/zlib-1.2.14.tar.gz
  tar xzf zlib-1.2.14.tar.gz && cd zlib-1.2.14
  # 编译安装并替换系统库
  ./configure && make && make install
  # 刷新系统库缓存
  ldconfig
  

• 构建完成后重新扫描验证漏洞是否消除

2. CI/CD流水线层面的规避策略 #

临时豁免扫描规则

若确认业务场景无漏洞触发风险，可在GitLab CI中添加该CVE的扫描豁免：

include:
  - template: Security/Container-Scanning.gitlab-ci.yml

container_scanning:
  variables:
    CS_EXCLUDED_VULNERABILITIES: "CVE-2023-45853"

注意：需同步记录豁免理由并定期复查，避免遗漏风险

切换基础镜像

尝试更换为其他debian衍生镜像（如ubuntu:22.04），检查镜像内zlib1g是否已修复该漏洞

镜像分层优化

将zlib1g所在的基础镜像层与业务代码层分离，减少漏洞暴露面；定期重新拉取debian:12镜像，确认是否有隐性更新

3. 业务层面风险缓解 #

• 确认业务是否实际使用zlib受影响功能：CVE-2023-45853为堆溢出漏洞，仅在处理不可信压缩数据（如用户上传的zip/gzip文件）时存在风险，若业务无相关场景，实际攻击风险极低
• 若涉及压缩数据处理，在进入zlib解析前添加数据大小、格式校验，过滤异常输入

4. 官方修复监控策略 #

• 关注Debian安全公告，监控zlib1g包的修复状态
• 在CI/CD中添加定期自动扫描任务，一旦官方发布修复包，自动触发镜像更新与重新构建

内容的提问来源于stack exchange，提问作者Ruben Duarte