如何修复Google Cloud Function容器存在的安全漏洞？

优先方案：触发官方镜像重新构建 #

• 标准部署模式下，Google Cloud 会定期为所有受支持的运行时更新Ubuntu基础镜像，修复已披露的系统包安全漏洞。你只需要重新执行一次gcloud functions deploy命令，构建流程默认会拉取当前最新的官方基础镜像生成新的容器，大部分已公开的基础镜像漏洞都可以通过这种方式直接修复。
• 若重新部署后漏洞仍然存在，先确认你使用的语言运行时版本仍在官方支持周期内：已废弃的运行时版本不会再接收安全补丁，需要先升级到当前受支持的运行时版本后再重新部署。
• 如遇到构建缓存复用旧镜像的问题，可以通过修改少量代码（例如添加注释）或在部署命令中添加--no-cache参数强制触发全量构建，避免缓存导致未拉取最新基础镜像。

进阶方案：使用第二代Cloud Function自定义镜像 #

如果官方基础镜像还未同步你需要的安全补丁，可以切换到第二代Cloud Function的自定义容器部署模式，自行控制系统包更新逻辑，操作流程如下：

• 基于谷歌官方公开的对应语言Cloud Function运行时基础镜像编写Dockerfile
• 在Dockerfile中添加更新系统包的命令：

  # 基于官方运行时基础镜像（示例为Python 3.11运行时）
  FROM us-docker.pkg.dev/functions/runtimes/python311:latest
  
  # 升级所有系统包修复漏洞
  RUN apt update && apt upgrade -y && \
      rm -rf /var/lib/apt/lists/*
  
  # 后续保留官方运行时的原有构建逻辑即可
  

• 本地构建镜像后推送到Google Cloud Artifact Registry或Container Registry
• 使用以下命令部署自定义镜像的Cloud Function：

  gcloud functions deploy <函数名> \
    --gen2 \
    --region <区域> \
    --image <镜像地址> \
    --trigger-http \
    --runtime <对应运行时>
  

漏洞风险评估参考 #

如果暂时无法完成上述操作，可以先评估漏洞的实际可利用性：Cloud Function运行时默认有多层沙箱隔离，多数基础镜像的系统包漏洞实际可被利用的攻击面极小，低风险漏洞可以安排在常规迭代中修复即可。

内容的提问来源于stack exchange，提问作者anyweez