Docker
该标签下有 2 篇文章
eMudhra（emSign）中间CA密钥泄露：Python用户需要为pip、certifi和uv做什么
2026年10月17日，有报告显示，印度证书颁发机构eMudhra的八个中间证书（其中六个用于TLS）的私钥生成过程存在严重缺陷，任何人都可能将其还原。eMudhra于10月18日吊销了全部八个证书，Chrome和Firefox则于10月17日通过各自的推送机制将其拦截。10月20日，Mozilla决定紧急移除其父根证书emSign ECC Root CA - G3的信任，Chrome将于10月27日（太平洋时间）移除。浏览器已受到保护，但浏览器之外的TLS客户端在更新各自的CA列表之前，可能会信任伪造证书。在Python中，pip始终加载其内置的certifi，因此即使操作系统证书存储已修复，旧版pip仍然存在风险。Python项目于10月20日发布通知（10月22日更新），要求用户至少升级到certifi 2026.10.19、pip 26.2.2、uv 0.13.4、sigstore 4.5.1、conda 26.9.4和pixi 0.82.1，并在不使用层缓存的情况下重建容器镜像。10月21日，他们发布了捆绑pip 26.2.2的Python 3.15.1、3.14.9和3.13.17。不会再为3.11或3.12发布带有更新pip的版本。这不是CPython中的代码执行漏洞：位于网络路径上的攻击者可能将访问PyPI、python.org等站点的连接重定向到伪造服务器。截至10月24日，尚未有利用此漏洞的公告。10月22日，eMudhra表示将退出全球SSL/TLS证书业务。本站的看法是：在所有环境中将pip升级到26.2.2或更高版本，将certifi升级到2026.10.19或更高版本，在不使用缓存的情况下重建Docker镜像，并提高锁文件中的certifi版本固定值。
安全运维 Next.js：建立不在已公开CVE上掉队的机制
框架的最大风险是放任已公开的CVE。以实际运行的版本判定，用 Dependabot/osv-scanner 自动监控，尽快更新，并以最小权限运行，这四项做法是防守的关键。本站的看法：个人开发者通常缺的不是知识，而是让运维持续下去的方法；不漏看CVE的机制比速度更重要。