Недавно я наткнулся на довольно интересный инструмент, который позволяет автоматически исправлять уязвимости в образах контейнерах – copacetic.

Принцип его работы довольно прост:

1) на вход принимает отчет от trivy
2) скачивает необходимые патчи
3) применяет изменения к образу в новом слое с помощью buildkit

Несмотря на всю must-have’ность тулзы, всё же у неё есть ряд недостатков:

- по сути подменяет уязвимую версию библиотеки на последнюю исправленную, что в теории может привести к неработоспособности приложения
- новый образ становится тяжелее (из за добавления нового слоя – см. второй скрин)
- принимает результаты сканирования только от trivy
- может фиксить баги только в тех версиях, для которых есть фиксы (очевидно, но всё же)
- для работы buildkit небходим runc или crun, containerd
- ограниченная поддержка пакетных менеджеров (apk, apt)