python:3.9-slim镜像expat组件CVE-2022-40674漏洞临时修复方案咨询

问题背景 #

基于python:3.9-slim构建GCP Cloud Run容器镜像时，检测到expat包（2.2.10版本）存在CVE-2022-40674（CVSS评分9.8）漏洞，导致CI/CD流程中断。尝试通过apt-get upgrade无法升级到修复后的2.4.8-2版本，因为该版本仅存在于Debian不稳定分支，无法从默认源获取。

以下是三个可行的临时解决方案：

方案1：使用Debian Backports源安装修复版expat #

python:3.9-slim基于Debian Bullseye，其backports源已包含修复后的expat包。通过添加backports源并指定安装该版本，可快速解决问题。

修改后的Dockerfile：

FROM python:3.9-slim
# 添加backports源并安装修复后的expat
RUN apt-get update && \
    apt-get install -y --no-install-recommends apt-transport-https ca-certificates && \
    echo "deb http://deb.debian.org/debian bullseye-backports main" >> /etc/apt/sources.list.d/backports.list && \
    apt-get update && \
    apt-get install -y -t bullseye-backports libexpat1 libexpat1-dev && \
    # 清理缓存减少镜像体积
    apt-get clean && \
    rm -rf /var/lib/apt/lists/*

# 原有环境变量及配置保持不变
ENV PYTHONUNBUFFERED True
ARG APP_ENV
ENV APP_ENV=${APP_ENV}
RUN echo $APP_ENV

ENV APP_HOME /app
ENV PYTHONPATH /app
ENV CLOUD True
WORKDIR $APP_HOME
COPY . ./

方案2：手动编译安装expat最新稳定版 #

如果backports源不可用，可直接从源码编译安装expat 2.4.8（修复该漏洞的稳定版本）。

修改后的Dockerfile：

FROM python:3.9-slim
RUN apt-get update && \
    # 安装编译依赖
    apt-get install -y --no-install-recommends build-essential wget && \
    # 下载并编译expat 2.4.8
    wget https://github.com/libexpat/libexpat/releases/download/R_2_4_8/expat-2.4.8.tar.gz && \
    tar -xzf expat-2.4.8.tar.gz && \
    cd expat-2.4.8 && \
    ./configure --prefix=/usr && \
    make && \
    make install && \
    # 清理编译文件和无用依赖
    cd .. && \
    rm -rf expat-2.4.8 expat-2.4.8.tar.gz && \
    apt-get purge -y build-essential wget && \
    apt-get autoremove -y && \
    apt-get clean && \
    rm -rf /var/lib/apt/lists/*

# 原有环境变量及配置保持不变
ENV PYTHONUNBUFFERED True
ARG APP_ENV
ENV APP_ENV=${APP_ENV}
RUN echo $APP_ENV

ENV APP_HOME /app
ENV PYTHONPATH /app
ENV CLOUD True
WORKDIR $APP_HOME
COPY . ./

方案3：临时豁免该漏洞（紧急权宜之计） #

若需紧急上线且暂时无法修复漏洞，可在CI/CD的漏洞扫描环节添加该CVE的豁免规则：

• 在GCP Container Analysis中为该镜像设置漏洞豁免
• 在你的CI扫描工具（如Trivy、Grype）配置文件中添加CVE-2022-40674的忽略项

注意：此方案仅为临时应急，不能真正消除漏洞风险，需尽快跟进官方源的修复更新。

内容的提问来源于stack exchange，提问作者Krishnamoorthy Ganapathy