Docker
2 статей с этим тегом
Компрометация промежуточных CA eMudhra (emSign): что делать пользователям Python с pip, certifi и uv
17 октября 2026 года появилось сообщение о том, что закрытые ключи восьми промежуточных сертификатов индийского центра сертификации eMudhra (шесть для TLS) были сгенерированы настолько плохо, что любой мог их восстановить. eMudhra отозвала все восемь 18 октября, а Chrome и Firefox заблокировали их 17 октября через механизмы push-обновлений. 20 октября Mozilla приняла решение об экстренном исключении доверия к родительскому корневому сертификату emSign ECC Root CA - G3, а Chrome удалит его 27 октября (по тихоокеанскому времени). Браузеры защищены, но TLS-клиенты вне браузера могут доверять поддельным сертификатам, пока не обновится их собственная копия списка CA. В Python pip всегда загружает встроенную копию certifi, поэтому старый pip остаётся уязвимым даже после исправления системного хранилища. Проекты Python опубликовали уведомление 20 октября (обновлено до 22 октября), в котором просят пользователей обновиться как минимум до certifi 2026.10.19, pip 26.2.2, uv 0.13.4, sigstore 4.5.1, conda 26.9.4 и pixi 0.82.1 и пересобрать образы контейнеров без кеша слоёв. 21 октября они выпустили Python 3.15.1, 3.14.9 и 3.13.17 со встроенным pip 26.2.2. Выпуска 3.11 или 3.12 с более новым pip не будет. Это не ошибка выполнения кода в CPython: злоумышленник, находящийся на сетевом пути, может перенаправить соединения с PyPI, python.org и других сайтов на поддельный сервер. По состоянию на 24 октября эксплуатация не была объявлена. 22 октября eMudhra сообщила, что уходит с глобального рынка сертификатов SSL/TLS. Мнение этого сайта: обновите pip до 26.2.2 или новее и certifi до 2026.10.19 или новее во всех окружениях, пересоберите образы Docker без кеша и поднимите все закрепления certifi в lock-файлах.
Безопасный запуск Next.js: не отставать от опубликованных CVE
Главный риск фреймворка — заброшенные опубликованные CVE. Защищайтесь четырьмя практиками: судите по работающей версии, мониторьте Dependabot/osv-scanner, быстро обновляйтесь и работайте с минимумом привилегий. Взгляд этого сайта: инди-разработчикам обычно не хватает не знаний, а способа поддерживать эксплуатацию; система, которая не пропускает CVE, важнее скорости.