From 1db49f532692e649dc5dc43c7c0444dac4790137 Mon Sep 17 00:00:00 2001 From: simar7 <1254783+simar7@users.noreply.github.com> Date: Tue, 16 Aug 2022 17:25:38 -0700 Subject: [PATCH] feat(trivy): Bump Trivy to v0.31.0 (#165) Fixes: https://github.com/aquasecurity/trivy-action/issues/164 Signed-off-by: Simar Signed-off-by: Simar --- .github/workflows/build.yaml | 2 +- Dockerfile | 2 +- test/data/config-sarif.test | 2 +- test/data/image-sarif.test | 2 +- test/data/image-trivyignores.test | 32 +++++++++++++++---------------- test/data/image.test | 32 +++++++++++++++---------------- test/data/repo.test | 4 +++- 7 files changed, 39 insertions(+), 37 deletions(-) diff --git a/.github/workflows/build.yaml b/.github/workflows/build.yaml index f28e7bd..97cef9b 100644 --- a/.github/workflows/build.yaml +++ b/.github/workflows/build.yaml @@ -1,7 +1,7 @@ name: "build" on: [push, pull_request] env: - TRIVY_VERSION: 0.30.4 + TRIVY_VERSION: 0.31.2 BATS_LIB_PATH: '/usr/lib/' jobs: build: diff --git a/Dockerfile b/Dockerfile index 5fff011..e8b36c1 100644 --- a/Dockerfile +++ b/Dockerfile @@ -1,4 +1,4 @@ -FROM ghcr.io/aquasecurity/trivy:0.30.4 +FROM ghcr.io/aquasecurity/trivy:0.31.2 COPY entrypoint.sh / RUN apk --no-cache add bash curl RUN chmod +x /entrypoint.sh diff --git a/test/data/config-sarif.test b/test/data/config-sarif.test index 1bafc0a..de25c53 100644 --- a/test/data/config-sarif.test +++ b/test/data/config-sarif.test @@ -37,7 +37,7 @@ } } ], - "version": "0.30.4" + "version": "0.31.2" } }, "results": [ diff --git a/test/data/image-sarif.test b/test/data/image-sarif.test index f556e0d..e21f8ee 100644 --- a/test/data/image-sarif.test +++ b/test/data/image-sarif.test @@ -37,7 +37,7 @@ } } ], - "version": "0.30.4" + "version": "0.31.2" } }, "results": [ diff --git a/test/data/image-trivyignores.test b/test/data/image-trivyignores.test index a7a4d7b..b9d3103 100644 --- a/test/data/image-trivyignores.test +++ b/test/data/image-trivyignores.test @@ -8,8 +8,8 @@ Total: 19 (CRITICAL: 19) ├─────────────┼────────────────┼──────────┼───────────────────┼───────────────┼──────────────────────────────────────────────────────────────┤ │ curl │ CVE-2018-14618 │ CRITICAL │ 7.61.0-r0 │ 7.61.1-r0 │ curl: NTLM password overflow via integer overflow │ │ │ │ │ │ │ https://avd.aquasec.com/nvd/cve-2018-14618 │ -├─────────────┼────────────────┼──────────┼───────────────────┼───────────────┼──────────────────────────────────────────────────────────────┤ -│ curl │ CVE-2018-16839 │ CRITICAL │ 7.61.0-r0 │ 7.61.1-r1 │ curl: Integer overflow leading to heap-based buffer overflow │ +│ ├────────────────┤ │ ├───────────────┼──────────────────────────────────────────────────────────────┤ +│ │ CVE-2018-16839 │ │ │ 7.61.1-r1 │ curl: Integer overflow leading to heap-based buffer overflow │ │ │ │ │ │ │ in Curl_sasl_create_plain_message() │ │ │ │ │ │ │ https://avd.aquasec.com/nvd/cve-2018-16839 │ │ ├────────────────┤ │ │ ├──────────────────────────────────────────────────────────────┤ @@ -20,8 +20,8 @@ Total: 19 (CRITICAL: 19) │ │ CVE-2018-16842 │ │ │ │ curl: Heap-based buffer over-read in the curl tool warning │ │ │ │ │ │ │ formatting │ │ │ │ │ │ │ https://avd.aquasec.com/nvd/cve-2018-16842 │ -├─────────────┼────────────────┼──────────┼───────────────────┼───────────────┼──────────────────────────────────────────────────────────────┤ -│ curl │ CVE-2019-3822 │ CRITICAL │ 7.61.0-r0 │ 7.61.1-r2 │ curl: NTLMv2 type-3 header stack buffer overflow │ +│ ├────────────────┤ │ ├───────────────┼──────────────────────────────────────────────────────────────┤ +│ │ CVE-2019-3822 │ │ │ 7.61.1-r2 │ curl: NTLMv2 type-3 header stack buffer overflow │ │ │ │ │ │ │ https://avd.aquasec.com/nvd/cve-2019-3822 │ │ ├────────────────┤ │ ├───────────────┼──────────────────────────────────────────────────────────────┤ │ │ CVE-2019-5481 │ │ │ 7.61.1-r3 │ curl: double free due to subsequent call of realloc() │ @@ -32,15 +32,15 @@ Total: 19 (CRITICAL: 19) ├─────────────┼────────────────┤ ├───────────────────┼───────────────┼──────────────────────────────────────────────────────────────┤ │ git │ CVE-2018-17456 │ │ 2.15.2-r0 │ 2.15.3-r0 │ git: arbitrary code execution via .gitmodules │ │ │ │ │ │ │ https://avd.aquasec.com/nvd/cve-2018-17456 │ -├─────────────┼────────────────┼──────────┼───────────────────┼───────────────┼──────────────────────────────────────────────────────────────┤ -│ git │ CVE-2019-1353 │ CRITICAL │ 2.15.2-r0 │ 2.15.4-r0 │ git: NTFS protections inactive when running Git in the │ +│ ├────────────────┤ │ ├───────────────┼──────────────────────────────────────────────────────────────┤ +│ │ CVE-2019-1353 │ │ │ 2.15.4-r0 │ git: NTFS protections inactive when running Git in the │ │ │ │ │ │ │ Windows Subsystem for... │ │ │ │ │ │ │ https://avd.aquasec.com/nvd/cve-2019-1353 │ -├─────────────┼────────────────┼──────────┼───────────────────┼───────────────┼──────────────────────────────────────────────────────────────┤ -│ libbz2 │ CVE-2019-12900 │ CRITICAL │ 1.0.6-r6 │ 1.0.6-r7 │ bzip2: out-of-bounds write in function BZ2_decompress │ +├─────────────┼────────────────┤ ├───────────────────┼───────────────┼──────────────────────────────────────────────────────────────┤ +│ libbz2 │ CVE-2019-12900 │ │ 1.0.6-r6 │ 1.0.6-r7 │ bzip2: out-of-bounds write in function BZ2_decompress │ │ │ │ │ │ │ https://avd.aquasec.com/nvd/cve-2019-12900 │ -├─────────────┼────────────────┼──────────┼───────────────────┼───────────────┼──────────────────────────────────────────────────────────────┤ -│ libcurl │ CVE-2018-16839 │ CRITICAL │ 7.61.1-r0 │ 7.61.1-r1 │ curl: Integer overflow leading to heap-based buffer overflow │ +├─────────────┼────────────────┤ ├───────────────────┼───────────────┼──────────────────────────────────────────────────────────────┤ +│ libcurl │ CVE-2018-16839 │ │ 7.61.1-r0 │ 7.61.1-r1 │ curl: Integer overflow leading to heap-based buffer overflow │ │ │ │ │ │ │ in Curl_sasl_create_plain_message() │ │ │ │ │ │ │ https://avd.aquasec.com/nvd/cve-2018-16839 │ │ ├────────────────┤ │ │ ├──────────────────────────────────────────────────────────────┤ @@ -51,8 +51,8 @@ Total: 19 (CRITICAL: 19) │ │ CVE-2018-16842 │ │ │ │ curl: Heap-based buffer over-read in the curl tool warning │ │ │ │ │ │ │ formatting │ │ │ │ │ │ │ https://avd.aquasec.com/nvd/cve-2018-16842 │ -├─────────────┼────────────────┼──────────┼───────────────────┼───────────────┼──────────────────────────────────────────────────────────────┤ -│ libcurl │ CVE-2019-3822 │ CRITICAL │ 7.61.1-r0 │ 7.61.1-r2 │ curl: NTLMv2 type-3 header stack buffer overflow │ +│ ├────────────────┤ │ ├───────────────┼──────────────────────────────────────────────────────────────┤ +│ │ CVE-2019-3822 │ │ │ 7.61.1-r2 │ curl: NTLMv2 type-3 header stack buffer overflow │ │ │ │ │ │ │ https://avd.aquasec.com/nvd/cve-2019-3822 │ │ ├────────────────┤ │ ├───────────────┼──────────────────────────────────────────────────────────────┤ │ │ CVE-2019-5481 │ │ │ 7.61.1-r3 │ curl: double free due to subsequent call of realloc() │ @@ -60,16 +60,16 @@ Total: 19 (CRITICAL: 19) │ ├────────────────┤ │ │ ├──────────────────────────────────────────────────────────────┤ │ │ CVE-2019-5482 │ │ │ │ curl: heap buffer overflow in function tftp_receive_packet() │ │ │ │ │ │ │ https://avd.aquasec.com/nvd/cve-2019-5482 │ -├─────────────┼────────────────┼──────────┼───────────────────┼───────────────┼──────────────────────────────────────────────────────────────┤ -│ musl │ CVE-2019-14697 │ CRITICAL │ 1.1.18-r3 │ 1.1.18-r4 │ musl libc through 1.1.23 has an x87 floating-point stack │ +├─────────────┼────────────────┤ ├───────────────────┼───────────────┼──────────────────────────────────────────────────────────────┤ +│ musl │ CVE-2019-14697 │ │ 1.1.18-r3 │ 1.1.18-r4 │ musl libc through 1.1.23 has an x87 floating-point stack │ │ │ │ │ │ │ adjustment im ...... │ │ │ │ │ │ │ https://avd.aquasec.com/nvd/cve-2019-14697 │ ├─────────────┤ │ │ │ │ │ │ musl-utils │ │ │ │ │ │ │ │ │ │ │ │ │ │ │ │ │ │ │ │ -├─────────────┼────────────────┼──────────┼───────────────────┼───────────────┼──────────────────────────────────────────────────────────────┤ -│ sqlite-libs │ CVE-2019-8457 │ CRITICAL │ 3.21.0-r1 │ 3.25.3-r1 │ sqlite: heap out-of-bound read in function rtreenode() │ +├─────────────┼────────────────┤ ├───────────────────┼───────────────┼──────────────────────────────────────────────────────────────┤ +│ sqlite-libs │ CVE-2019-8457 │ │ 3.21.0-r1 │ 3.25.3-r1 │ sqlite: heap out-of-bound read in function rtreenode() │ │ │ │ │ │ │ https://avd.aquasec.com/nvd/cve-2019-8457 │ └─────────────┴────────────────┴──────────┴───────────────────┴───────────────┴──────────────────────────────────────────────────────────────┘ diff --git a/test/data/image.test b/test/data/image.test index 51c8d95..cddb9d1 100644 --- a/test/data/image.test +++ b/test/data/image.test @@ -8,8 +8,8 @@ Total: 19 (CRITICAL: 19) ├─────────────┼────────────────┼──────────┼───────────────────┼───────────────┼──────────────────────────────────────────────────────────────┤ │ curl │ CVE-2018-14618 │ CRITICAL │ 7.61.0-r0 │ 7.61.1-r0 │ curl: NTLM password overflow via integer overflow │ │ │ │ │ │ │ https://avd.aquasec.com/nvd/cve-2018-14618 │ -├─────────────┼────────────────┼──────────┼───────────────────┼───────────────┼──────────────────────────────────────────────────────────────┤ -│ curl │ CVE-2018-16839 │ CRITICAL │ 7.61.0-r0 │ 7.61.1-r1 │ curl: Integer overflow leading to heap-based buffer overflow │ +│ ├────────────────┤ │ ├───────────────┼──────────────────────────────────────────────────────────────┤ +│ │ CVE-2018-16839 │ │ │ 7.61.1-r1 │ curl: Integer overflow leading to heap-based buffer overflow │ │ │ │ │ │ │ in Curl_sasl_create_plain_message() │ │ │ │ │ │ │ https://avd.aquasec.com/nvd/cve-2018-16839 │ │ ├────────────────┤ │ │ ├──────────────────────────────────────────────────────────────┤ @@ -20,8 +20,8 @@ Total: 19 (CRITICAL: 19) │ │ CVE-2018-16842 │ │ │ │ curl: Heap-based buffer over-read in the curl tool warning │ │ │ │ │ │ │ formatting │ │ │ │ │ │ │ https://avd.aquasec.com/nvd/cve-2018-16842 │ -├─────────────┼────────────────┼──────────┼───────────────────┼───────────────┼──────────────────────────────────────────────────────────────┤ -│ curl │ CVE-2019-3822 │ CRITICAL │ 7.61.0-r0 │ 7.61.1-r2 │ curl: NTLMv2 type-3 header stack buffer overflow │ +│ ├────────────────┤ │ ├───────────────┼──────────────────────────────────────────────────────────────┤ +│ │ CVE-2019-3822 │ │ │ 7.61.1-r2 │ curl: NTLMv2 type-3 header stack buffer overflow │ │ │ │ │ │ │ https://avd.aquasec.com/nvd/cve-2019-3822 │ │ ├────────────────┤ │ ├───────────────┼──────────────────────────────────────────────────────────────┤ │ │ CVE-2019-5481 │ │ │ 7.61.1-r3 │ curl: double free due to subsequent call of realloc() │ @@ -32,15 +32,15 @@ Total: 19 (CRITICAL: 19) ├─────────────┼────────────────┤ ├───────────────────┼───────────────┼──────────────────────────────────────────────────────────────┤ │ git │ CVE-2018-17456 │ │ 2.15.2-r0 │ 2.15.3-r0 │ git: arbitrary code execution via .gitmodules │ │ │ │ │ │ │ https://avd.aquasec.com/nvd/cve-2018-17456 │ -├─────────────┼────────────────┼──────────┼───────────────────┼───────────────┼──────────────────────────────────────────────────────────────┤ -│ git │ CVE-2019-1353 │ CRITICAL │ 2.15.2-r0 │ 2.15.4-r0 │ git: NTFS protections inactive when running Git in the │ +│ ├────────────────┤ │ ├───────────────┼──────────────────────────────────────────────────────────────┤ +│ │ CVE-2019-1353 │ │ │ 2.15.4-r0 │ git: NTFS protections inactive when running Git in the │ │ │ │ │ │ │ Windows Subsystem for... │ │ │ │ │ │ │ https://avd.aquasec.com/nvd/cve-2019-1353 │ -├─────────────┼────────────────┼──────────┼───────────────────┼───────────────┼──────────────────────────────────────────────────────────────┤ -│ libbz2 │ CVE-2019-12900 │ CRITICAL │ 1.0.6-r6 │ 1.0.6-r7 │ bzip2: out-of-bounds write in function BZ2_decompress │ +├─────────────┼────────────────┤ ├───────────────────┼───────────────┼──────────────────────────────────────────────────────────────┤ +│ libbz2 │ CVE-2019-12900 │ │ 1.0.6-r6 │ 1.0.6-r7 │ bzip2: out-of-bounds write in function BZ2_decompress │ │ │ │ │ │ │ https://avd.aquasec.com/nvd/cve-2019-12900 │ -├─────────────┼────────────────┼──────────┼───────────────────┼───────────────┼──────────────────────────────────────────────────────────────┤ -│ libcurl │ CVE-2018-16839 │ CRITICAL │ 7.61.1-r0 │ 7.61.1-r1 │ curl: Integer overflow leading to heap-based buffer overflow │ +├─────────────┼────────────────┤ ├───────────────────┼───────────────┼──────────────────────────────────────────────────────────────┤ +│ libcurl │ CVE-2018-16839 │ │ 7.61.1-r0 │ 7.61.1-r1 │ curl: Integer overflow leading to heap-based buffer overflow │ │ │ │ │ │ │ in Curl_sasl_create_plain_message() │ │ │ │ │ │ │ https://avd.aquasec.com/nvd/cve-2018-16839 │ │ ├────────────────┤ │ │ ├──────────────────────────────────────────────────────────────┤ @@ -51,8 +51,8 @@ Total: 19 (CRITICAL: 19) │ │ CVE-2018-16842 │ │ │ │ curl: Heap-based buffer over-read in the curl tool warning │ │ │ │ │ │ │ formatting │ │ │ │ │ │ │ https://avd.aquasec.com/nvd/cve-2018-16842 │ -├─────────────┼────────────────┼──────────┼───────────────────┼───────────────┼──────────────────────────────────────────────────────────────┤ -│ libcurl │ CVE-2019-3822 │ CRITICAL │ 7.61.1-r0 │ 7.61.1-r2 │ curl: NTLMv2 type-3 header stack buffer overflow │ +│ ├────────────────┤ │ ├───────────────┼──────────────────────────────────────────────────────────────┤ +│ │ CVE-2019-3822 │ │ │ 7.61.1-r2 │ curl: NTLMv2 type-3 header stack buffer overflow │ │ │ │ │ │ │ https://avd.aquasec.com/nvd/cve-2019-3822 │ │ ├────────────────┤ │ ├───────────────┼──────────────────────────────────────────────────────────────┤ │ │ CVE-2019-5481 │ │ │ 7.61.1-r3 │ curl: double free due to subsequent call of realloc() │ @@ -60,16 +60,16 @@ Total: 19 (CRITICAL: 19) │ ├────────────────┤ │ │ ├──────────────────────────────────────────────────────────────┤ │ │ CVE-2019-5482 │ │ │ │ curl: heap buffer overflow in function tftp_receive_packet() │ │ │ │ │ │ │ https://avd.aquasec.com/nvd/cve-2019-5482 │ -├─────────────┼────────────────┼──────────┼───────────────────┼───────────────┼──────────────────────────────────────────────────────────────┤ -│ musl │ CVE-2019-14697 │ CRITICAL │ 1.1.18-r3 │ 1.1.18-r4 │ musl libc through 1.1.23 has an x87 floating-point stack │ +├─────────────┼────────────────┤ ├───────────────────┼───────────────┼──────────────────────────────────────────────────────────────┤ +│ musl │ CVE-2019-14697 │ │ 1.1.18-r3 │ 1.1.18-r4 │ musl libc through 1.1.23 has an x87 floating-point stack │ │ │ │ │ │ │ adjustment im ...... │ │ │ │ │ │ │ https://avd.aquasec.com/nvd/cve-2019-14697 │ ├─────────────┤ │ │ │ │ │ │ musl-utils │ │ │ │ │ │ │ │ │ │ │ │ │ │ │ │ │ │ │ │ -├─────────────┼────────────────┼──────────┼───────────────────┼───────────────┼──────────────────────────────────────────────────────────────┤ -│ sqlite-libs │ CVE-2019-8457 │ CRITICAL │ 3.21.0-r1 │ 3.25.3-r1 │ sqlite: heap out-of-bound read in function rtreenode() │ +├─────────────┼────────────────┤ ├───────────────────┼───────────────┼──────────────────────────────────────────────────────────────┤ +│ sqlite-libs │ CVE-2019-8457 │ │ 3.21.0-r1 │ 3.25.3-r1 │ sqlite: heap out-of-bound read in function rtreenode() │ │ │ │ │ │ │ https://avd.aquasec.com/nvd/cve-2019-8457 │ └─────────────┴────────────────┴──────────┴───────────────────┴───────────────┴──────────────────────────────────────────────────────────────┘ diff --git a/test/data/repo.test b/test/data/repo.test index 85eb94a..9c9d93b 100644 --- a/test/data/repo.test +++ b/test/data/repo.test @@ -68,7 +68,9 @@ } ] }, - "Match": "export GITHUB_PAT=****************************************" + "Match": "export GITHUB_PAT=****************************************", + "Deleted": false, + "Layer": {} } ] }