Strimzi部署Kafka镜像存在漏洞，寻求修复方案

针对你遇到的Strimzi镜像存在高、危漏洞的问题，可按以下方案逐步处理：

1. 升级至Strimzi最新稳定版本 #

你当前使用的Strimzi 0.32.0是较旧版本，其依赖的基础系统镜像存在未修复的安全漏洞。Strimzi官方会定期发布新版本，同步更新基础镜像并修复已知漏洞，升级到最新稳定版是最直接的解决方式：

• 卸载旧版Operator：kubectl delete -f 'https://strimzi.io/install/latest?namespace=kafka' -n kafka
• 安装最新版Operator：获取对应最新版本的安装清单，执行部署命令（替换为最新版的安装路径）
• 重新应用你的3副本Kafka集群清单，新版本会自动使用修复后的镜像。

2. 自定义构建修复后的镜像 #

若无法直接升级版本，可基于官方镜像手动修复漏洞后重新构建：

• 编写Dockerfile示例（以UBI基础镜像为例）：

FROM quay.io/strimzi/kafka:0.32.0-kafka-3.3.1
USER root
RUN microdnf update -y && microdnf clean all
USER 1001

• 构建并推送镜像到私有仓库：docker build -t your-registry/kafka:0.32.0-kafka-3.3.1-fixed . && docker push your-registry/kafka:0.32.0-kafka-3.3.1-fixed
• 修改KafkaCluster资源的spec.kafka.image字段，以及Operator部署的镜像地址，替换为自定义构建的镜像。

3. 配置漏洞豁免（仅限必要场景） #

对于部分低危、不影响核心业务的漏洞，可与客户沟通后添加豁免规则：

• 在Trivy扫描配置中排除特定CVE编号，比如在扫描命令中添加--ignore-unfixed --exclude-cve CVE-XXXX-XXXX
• 整理漏洞风险评估文档，说明这些漏洞的攻击面、影响范围及无实际业务风险的依据，获得客户豁免认可。

4. 切换轻量化基础镜像 #

Strimzi提供基于Distroless或UBI Minimal的镜像变体，这类镜像移除了不必要的系统组件，攻击面更小，漏洞数量更少：

• 查找对应版本的轻量化镜像标签，比如quay.io/strimzi/kafka:0.32.0-kafka-3.3.1-distroless
• 修改KafkaCluster和Operator的镜像配置，使用该轻量化镜像。

内容的提问来源于stack exchange，提问作者Latha