jhoogie
released this
2026-09-18 15:21:20 +02:00
| 14 commits to main since this release
Beveiliging
- De postgres-container draait niet meer als root. Beide compose-bestanden
starten hem met user: "postgres". Alle 46 bevindingen op postgres:18-alpine
zitten in één bestand — /usr/local/bin/gosu, dat upstream met Go 1.24.6
compileert — en het entrypoint roept gosu alleen aan als het als root start.
Non-root starten slaat die tak over, dus de binary draait nooit meer. De
Alpine-pakketten in dat image zijn zelf schoon
- Getest op een bestaande database die ooit als root was aangemaakt: die start
als non-root en de data blijft intact. Ook een verse database initialiseert
gewoon
- Bewust géén eigen postgres-image gebouwd om die binary te verwijderen. Dat zou
de scan op nul zetten maar je verplichten het image zelf te herbouwen bij elke
postgres-patch — precies de achterstand die het image vier maanden op 18.4 met
143 bevindingen hield. De afweging staat in BEHEER.md, zodat de volgende
scan niet opnieuw tot dezelfde vraag leidt
test.ps1 waarschuwt bij stap 4 wanneer postgres:18-alpine in de registry
nieuwer is dan wat er lokaal staat. Die achterstand is het werkelijke risico;
het getal in de scan is dat niet
Downloads