Doğrulanmayan uzak ADD (ARCH10004)

Anahtar config.docker.remote-add · Önem warning · Kategori security · CWE CWE-494

ADD <url> sunucunun o gün döndürdüğü her şeyi imaja koyar. Taşınmış bir dosya, ele geçirilmiş bir alan adı ya da araya giren biri, Dockerfile’ın tek satırı değişmeden imajı değiştirir.

Hatalı

FROM alpine:3.20
ADD https://downloads.example.com/cli/cli-2.4.1.tar.gz /tmp/cli.tar.gz
RUN tar -xzf /tmp/cli.tar.gz -C /usr/local/bin
USER 65534

Doğru

FROM alpine:3.20
ADD --checksum=sha256:9f86d081884c7d659a2feaa0c55ad015a3bf4f1b2b0b822cd15d6c15b0f00a08 \
    https://downloads.example.com/cli/cli-2.4.1.tar.gz /tmp/cli.tar.gz
RUN tar -xzf /tmp/cli.tar.gz -C /usr/local/bin
USER 65534

Düzeltme

İçeriği sabitleyin: ADD --checksum=sha256:..., ya da curl ile indirip kullanmadan önce sha256sum -c ile denetleyin. Depodaki incelenmiş bir dosya COPY ile de alınabilir.

İşaretlenmeyenler

• ADD --checksum=....
• Aynı aşamada sonraki bir RUN’ın dosyayı adıyla doğruladığı uzak ADD (sha256sum -c, gpg --verify, cosign verify, minisign -V).