Docker镜像中Telegraf（Go二进制）的CVE-2023-29405漏洞咨询

一、漏洞影响范围明确 #

先划重点，这个漏洞的触发条件非常有限：

• 仅影响gccgo编译器：用标准Go编译器（gc）构建的Telegraf二进制完全不受该漏洞影响
• 仅在构建阶段触发：漏洞是Go构建工具处理#cgo LDFLAGS时的逻辑缺陷，只有执行go get拉取恶意模块、或是构建不可信代码时才会被利用执行任意代码。运行已编译好的Telegraf二进制本身不会触发这个漏洞

对你的Docker镜像来说：

• 如果镜像里的Telegraf是标准gc编译的：镜像运行时无任何风险，漏洞提示属于无需关注的情况
• 如果是gccgo编译的：只有基于该镜像进行Go代码构建操作（比如编译新模块、拉取依赖）时才存在风险，单纯运行Telegraf服务没问题

二、修复步骤 #

1. 先确认编译器类型 #

执行容器内的Telegraf版本命令，查看构建使用的编译器：

docker exec <your-telegraf-container> telegraf version

输出示例：Telegraf 1.27.0 (git: HEAD@abc123) Go 1.20.4 gc，其中gc代表标准编译器，gccgo则是目标编译器。

2. 针对gccgo编译的场景 #

• 升级Go编译器版本：Go官方在1.20.7、1.19.12及更高版本中修复了该漏洞，更换构建环境为带这些版本gccgo的镜像，重新编译Telegraf
• 重构Docker构建流程：
  • 替换构建阶段的基础镜像为golang:1.20.7-gccgo（或更高版本的gccgo镜像）
  • 确保构建时环境变量配置正确，比如CGO_ENABLED=1、CC=gccgo（如果之前是这么配置的），重新编译Telegraf后打包镜像
• 临时规避（无法升级时）：构建阶段禁止拉取未知来源的Go模块，只使用可信依赖，构建环境隔离，避免执行不可信代码

3. 使用官方Telegraf镜像 #

官方Telegraf镜像默认使用标准gc编译器构建，不存在该漏洞影响。直接拉取最新官方镜像即可：

docker pull telegraf:latest

内容的提问来源于stack exchange，提问作者Mandroid