İndirilen betik doğrudan kabuğa veriliyor (ARCH10005)

Anahtar config.docker.pipe-to-shell · Önem warning · Kategori security · CWE CWE-494

curl ... | sh, sunucu ne döndürürse onu derleme sırasında, derlemenin yetkileriyle çalıştırır ve neyin çalıştığına dair kayıt bırakmaz. Bir sonraki derleme başka bir şey çalıştırabilir.

Hatalı

FROM debian:12.7-slim
RUN curl -fsSL https://get.example.com/install.sh | sh
USER 65534

Doğru

FROM debian:12.7-slim
RUN curl -fsSLo /tmp/install.sh https://get.example.com/install.sh \
 && echo "9f86d081884c7d659a2feaa0c55ad015a3bf4f1b2b0b822cd15d6c15b0f00a08  /tmp/install.sh" | sha256sum -c - \
 && sh /tmp/install.sh
USER 65534

Düzeltme

Betiği bir dosyaya indirin, sağlama toplamını ya da imzasını doğrulayın, sonra çalıştırın.

İşaretlenmeyenler

Dosyaya kaydedilip ayrıca çalıştırılan indirme.