☰

Debian 10でapt-getパッケージにウイルスやマルウェアが含まれていないことを確認する方法[閉じる]

tag-icon • tag-icon debian apt security docker
Debian 10でapt-getパッケージにウイルスやマルウェアが含まれていないことを確認する方法[閉じる]

以下はDockerfileDebian 10（buster）イメージに基づいて書かれています。

FROM node:12-buster

RUN apt-get update -y
RUN apt-get install wkhtmltopdf -y

#...rest content

wkhtmltopdf上記のように、 using apt-getcommand-yというパッケージをインストールする必要があります（パッケージが要求するすべての権限を許可するフラグとともに）。

私の質問は次のとおりですwkhtmltopdf（パッケージ）にDebian 10（バスター）のapt-getウイルスやマルウェアが含まれていないことを確認するためにどのツールを使用できますか？

なぜこの検証が必要なのか疑問に思うなら：

これを使用して構築されたコンテナには機密データが含まれており、データベースコンテナや他の外部httpsリソースDockerfileなどの他のコンテナともmysql通信できます。

したがって、パッケージにwkhtmltopdfウイルスやマルウェアが含まれていると、ハッカーはデータベースデータとユーザーの機密情報やその他の機密情報を盗む可能性があります。

ベストアンサー1

このパッケージのソースコードはwkhtmltopdf実際に利用可能であり、悪意のあるコードがないことを確認するには、直接読み込んでビルドできる必要があります。

これダーバンパッケージページ次のリンクがあります。ソースソースそしてDebian 修正ソース。また、以下があると主張するGitHubリポジトリを見つけました。公式ソースコード。

セキュリティに関しては、「信頼できないHTMLでwkhtmltopdfを使用しないでください」という警告がより心配です。ステータスページ。パッケージが悪意のないことを確認しても、ソフトウェア自体にはセキュリティリスクを引き起こす可能性があるバグがあるようです。

個人的には、Debianが提供していることを心配する前にパッケージを検証することに興味がありますnode。

おすすめ記事