How do I interpret CRITICAL vulnerability on (gobinary)? #8205

ak2766 · 2025-01-06T23:54:51Z

ak2766
Jan 6, 2025

Question

I'm trying to clean up my cluster of many (overwhelmingly many) security vulnerabilities as reported by Trivy. However, it appears that most of these CRITICAL vulnerabilities are attached to (gobinary). For instance, I just deployed the latest cert-manager and I see all components have a critical vulnerability:

Workload Assessment

Workload Assessment
┌──────────────┬────────────────────────────────────┬───────────────────┬───────────────────┬───────────────────┐
│  Namespace   │              Resource              │  Vulnerabilities  │ Misconfigurations │      Secrets      │
│              │                                    ├───┬───┬───┬───┬───┼───┬───┬───┬───┬───┼───┬───┬───┬───┬───┤
│              │                                    │ C │ H │ M │ L │ U │ C │ H │ M │ L │ U │ C │ H │ M │ L │ U │
├──────────────┼────────────────────────────────────┼───┼───┼───┼───┼───┼───┼───┼───┼───┼───┼───┼───┼───┼───┼───┤
│ cert-manager │ Deployment/cert-manager            │ 1 │ 1 │   │   │   │   │   │   │ 6 │   │   │   │   │   │   │
│ cert-manager │ Deployment/cert-manager-cainjector │ 1 │ 1 │   │   │   │   │   │   │ 6 │   │   │   │   │   │   │
│ cert-manager │ Deployment/cert-manager-webhook    │ 1 │ 1 │   │   │   │   │   │   │ 6 │   │   │   │   │   │   │
└──────────────┴────────────────────────────────────┴───┴───┴───┴───┴───┴───┴───┴───┴───┴───┴───┴───┴───┴───┴───┘

When I run the all report, I get:

Cert Manager full report

namespace: cert-manager, deployment: cert-manager
=================================================
Total: 0 (UNKNOWN: 0, LOW: 0, MEDIUM: 0, HIGH: 0, CRITICAL: 0)


namespace: cert-manager, deployment: cert-manager (gobinary)
============================================================
Total: 2 (UNKNOWN: 0, LOW: 0, MEDIUM: 0, HIGH: 1, CRITICAL: 1)

┌─────────────────────┬────────────────┬──────────┬────────┬───────────────────┬───────────────┬────────────────────────────────────────────────────────┐
│       Library       │ Vulnerability  │ Severity │ Status │ Installed Version │ Fixed Version │                         Title                          │
├─────────────────────┼────────────────┼──────────┼────────┼───────────────────┼───────────────┼────────────────────────────────────────────────────────┤
│ golang.org/x/crypto │ CVE-2024-45337 │ CRITICAL │ fixed  │ v0.27.0           │ 0.31.0        │ golang.org/x/crypto/ssh: Misuse of                     │
│                     │                │          │        │                   │               │ ServerConfig.PublicKeyCallback may cause authorization │
│                     │                │          │        │                   │               │ bypass in golang.org/x/crypto                          │
│                     │                │          │        │                   │               │ https://avd.aquasec.com/nvd/cve-2024-45337             │
├─────────────────────┼────────────────┼──────────┤        ├───────────────────┼───────────────┼────────────────────────────────────────────────────────┤
│ golang.org/x/net    │ CVE-2024-45338 │ HIGH     │        │ v0.29.0           │ 0.33.0        │ golang.org/x/net/html: Non-linear parsing of           │
│                     │                │          │        │                   │               │ case-insensitive content in golang.org/x/net/html      │
│                     │                │          │        │                   │               │ https://avd.aquasec.com/nvd/cve-2024-45338             │
└─────────────────────┴────────────────┴──────────┴────────┴───────────────────┴───────────────┴────────────────────────────────────────────────────────┘

So, why is it that there are 2 parts(?), namely:
1: the top part shows all is well
2. then the bottom part shows the same info but for (gobinary).

So, what exactly am I looking at and how should I interpret this? I've searched and frankly, there's loads of information out there and I could have missed it. If so, please provide links so I can go read.

Overall, be gentle as I'm only a few weeks old using Trivy.

Target

Kubernetes

Scanner

Vulnerability

Output Format

None

Mode

Standalone

Operating System

I'm on Ubuntu 24.04.1

Version

$ > trivy --version
Version: 0.58.0
Vulnerability DB:
  Version: 2
  UpdatedAt: 2025-01-06 06:18:23.609115718 +0000 UTC
  NextUpdate: 2025-01-07 06:18:23.609115348 +0000 UTC
  DownloadedAt: 2025-01-06 09:03:02.216498403 +0000 UTC
Java DB:
  Version: 1
  UpdatedAt: 2024-12-18 02:53:19.193069252 +0000 UTC
  NextUpdate: 2024-12-21 02:53:19.193069092 +0000 UTC
  DownloadedAt: 2024-12-19 12:47:39.311770211 +0000 UTC
Check Bundle:
  Digest: sha256:f6901e03f486a48f47aa17a78d89d18e6c31ded82aff83ed19d0d73935a1a059
  DownloadedAt: 2025-01-06 09:02:51.408344975 +0000 UTC

ak2766 · 2025-01-07T00:10:57Z

ak2766
Jan 7, 2025
Author

This (gobinary) also appears on other deployments. For instance, I have a NodeJS application running in the cluster that has some critical and high vulnerabilities. I need to understand if it's something I can do something about or not. I know for sure that the NodeJS app makes no direct use of Golang code but it could be that one of the modules pulled in might.

How could I go about learning which module brought it in it Trivy doesn't tell me?

2 replies

knqyf263 Jan 7, 2025
Maintainer

Trivy shows vulnerabilities in OS packages and language-specific packages. The first part seems relevant to OS packages, and the second part is about the Go binary. However, since it's k8s scanning, I'd defer to @afdesk, who is on vacation now. He will be back next week.

ak2766 Jan 7, 2025
Author

@knqyf263 - Thanks for stepping in. Eagerly awaiting @afdesk's return.

afdesk · 2025-01-13T05:16:18Z

afdesk
Jan 13, 2025
Maintainer

hi @ak2766!
thanks for your interest in Trivy.

Trivy k8s does a few steps for scanning.
for your case: at first, Trivy checks k8s configs, then tries to review images, so you see 2 parts in the result.
~~the top part shows result for misconfig scan, the bottom part shows info but for image scan and found gobinary files.~~

my mistake:
@knqyf263 is right as usual:

The first part seems relevant to OS packages, and the second part is about the Go binary.

this block is the result for image scan.

the report for cert-manager-cainjector:v1.16.2

trivy i quay.io/jetstack/cert-manager-cainjector:v1.16.2
2025-01-13T11:34:46+06:00       INFO    [vuln] Vulnerability scanning is enabled
2025-01-13T11:34:46+06:00       INFO    [secret] Secret scanning is enabled
2025-01-13T11:34:46+06:00       INFO    [secret] If your scanning is slow, please try '--scanners vuln' to disable secret scanning
2025-01-13T11:34:46+06:00       INFO    [secret] Please see also https://aquasecurity.github.io/trivy/v0.58/docs/scanner/secret#recommendation for faster secret detection
2025-01-13T11:34:53+06:00       INFO    Detected OS     family="debian" version="12.8"
2025-01-13T11:34:53+06:00       INFO    [debian] Detecting vulnerabilities...   os_version="12" pkg_num=3
2025-01-13T11:34:53+06:00       INFO    Number of language-specific files       num=1
2025-01-13T11:34:53+06:00       INFO    [gobinary] Detecting vulnerabilities...

quay.io/jetstack/cert-manager-cainjector:v1.16.2 (debian 12.8)

Total: 0 (UNKNOWN: 0, LOW: 0, MEDIUM: 0, HIGH: 0, CRITICAL: 0)


app/cmd/cainjector/cainjector (gobinary)

Total: 2 (UNKNOWN: 0, LOW: 0, MEDIUM: 0, HIGH: 1, CRITICAL: 1)

┌─────────────────────┬────────────────┬──────────┬────────┬───────────────────┬───────────────┬────────────────────────────────────────────────────────┐
│       Library       │ Vulnerability  │ Severity │ Status │ Installed Version │ Fixed Version │                         Title                          │
├─────────────────────┼────────────────┼──────────┼────────┼───────────────────┼───────────────┼────────────────────────────────────────────────────────┤
│ golang.org/x/crypto │ CVE-2024-45337 │ CRITICAL │ fixed  │ v0.27.0           │ 0.31.0        │ golang.org/x/crypto/ssh: Misuse of                     │
│                     │                │          │        │                   │               │ ServerConfig.PublicKeyCallback may cause authorization │
│                     │                │          │        │                   │               │ bypass in golang.org/x/crypto                          │
│                     │                │          │        │                   │               │ https://avd.aquasec.com/nvd/cve-2024-45337             │
├─────────────────────┼────────────────┼──────────┤        ├───────────────────┼───────────────┼────────────────────────────────────────────────────────┤
│ golang.org/x/net    │ CVE-2024-45338 │ HIGH     │        │ v0.29.0           │ 0.33.0        │ golang.org/x/net/html: Non-linear parsing of           │
│                     │                │          │        │                   │               │ case-insensitive content in golang.org/x/net/html      │
│                     │                │          │        │                   │               │ https://avd.aquasec.com/nvd/cve-2024-45338             │
└─────────────────────┴────────────────┴──────────┴────────┴───────────────────┴───────────────┴────────────────────────────────────────────────────────┘

you can try to skip the second part with a flag --skip-images for test. it should show only one result.

4 replies

afdesk Jan 13, 2025
Maintainer

also I did a small test on my minikube:

$ kubectl apply -f https://github.com/cert-manager/cert-manager/releases/download/v1.16.2/cert-manager.yaml
...

cert-manager depends on next three images, they contain the same vulns:

quay.io/jetstack/cert-manager-cainjector:v1.16.2
quay.io/jetstack/cert-manager-webhook:v1.16.2
quay.io/jetstack/cert-manager-controller:v1.16.2

The CVEs in golang.org/x/crypto/golang.org/x/net are well known and should be fixed soon.

you also can take a look at the misconfigs:

trivy k8s --report all --include-namespaces cert-manager

the report

2025-01-13T11:19:51+06:00       INFO    Node scanning is enabled
2025-01-13T11:19:51+06:00       INFO    If you want to disable Node scanning via an in-cluster Job, please try '--disable-node-collector' to disable the Node-Collector job.
2025-01-13T11:19:51+06:00       INFO    Scanning K8s... K8s="minikube"
15 / 15 [---------------------------------------------------------------------------------------------------------------------------------------------------------------------] 100.00% 2 p/s

namespace: cert-manager, deployment: cert-manager

Total: 0 (UNKNOWN: 0, LOW: 0, MEDIUM: 0, HIGH: 0, CRITICAL: 0)


namespace: cert-manager, deployment: cert-manager (gobinary)

Total: 2 (UNKNOWN: 0, LOW: 0, MEDIUM: 0, HIGH: 1, CRITICAL: 1)

┌─────────────────────┬────────────────┬──────────┬────────┬───────────────────┬───────────────┬────────────────────────────────────────────────────────┐
│       Library       │ Vulnerability  │ Severity │ Status │ Installed Version │ Fixed Version │                         Title                          │
├─────────────────────┼────────────────┼──────────┼────────┼───────────────────┼───────────────┼────────────────────────────────────────────────────────┤
│ golang.org/x/crypto │ CVE-2024-45337 │ CRITICAL │ fixed  │ v0.27.0           │ 0.31.0        │ golang.org/x/crypto/ssh: Misuse of                     │
│                     │                │          │        │                   │               │ ServerConfig.PublicKeyCallback may cause authorization │
│                     │                │          │        │                   │               │ bypass in golang.org/x/crypto                          │
│                     │                │          │        │                   │               │ https://avd.aquasec.com/nvd/cve-2024-45337             │
├─────────────────────┼────────────────┼──────────┤        ├───────────────────┼───────────────┼────────────────────────────────────────────────────────┤
│ golang.org/x/net    │ CVE-2024-45338 │ HIGH     │        │ v0.29.0           │ 0.33.0        │ golang.org/x/net/html: Non-linear parsing of           │
│                     │                │          │        │                   │               │ case-insensitive content in golang.org/x/net/html      │
│                     │                │          │        │                   │               │ https://avd.aquasec.com/nvd/cve-2024-45338             │
└─────────────────────┴────────────────┴──────────┴────────┴───────────────────┴───────────────┴────────────────────────────────────────────────────────┘

namespace: cert-manager, deployment: cert-manager-webhook

Total: 0 (UNKNOWN: 0, LOW: 0, MEDIUM: 0, HIGH: 0, CRITICAL: 0)


namespace: cert-manager, deployment: cert-manager-webhook (gobinary)

Total: 2 (UNKNOWN: 0, LOW: 0, MEDIUM: 0, HIGH: 1, CRITICAL: 1)

┌─────────────────────┬────────────────┬──────────┬────────┬───────────────────┬───────────────┬────────────────────────────────────────────────────────┐
│       Library       │ Vulnerability  │ Severity │ Status │ Installed Version │ Fixed Version │                         Title                          │
├─────────────────────┼────────────────┼──────────┼────────┼───────────────────┼───────────────┼────────────────────────────────────────────────────────┤
│ golang.org/x/crypto │ CVE-2024-45337 │ CRITICAL │ fixed  │ v0.27.0           │ 0.31.0        │ golang.org/x/crypto/ssh: Misuse of                     │
│                     │                │          │        │                   │               │ ServerConfig.PublicKeyCallback may cause authorization │
│                     │                │          │        │                   │               │ bypass in golang.org/x/crypto                          │
│                     │                │          │        │                   │               │ https://avd.aquasec.com/nvd/cve-2024-45337             │
├─────────────────────┼────────────────┼──────────┤        ├───────────────────┼───────────────┼────────────────────────────────────────────────────────┤
│ golang.org/x/net    │ CVE-2024-45338 │ HIGH     │        │ v0.29.0           │ 0.33.0        │ golang.org/x/net/html: Non-linear parsing of           │
│                     │                │          │        │                   │               │ case-insensitive content in golang.org/x/net/html      │
│                     │                │          │        │                   │               │ https://avd.aquasec.com/nvd/cve-2024-45338             │
└─────────────────────┴────────────────┴──────────┴────────┴───────────────────┴───────────────┴────────────────────────────────────────────────────────┘

namespace: cert-manager, deployment: cert-manager-cainjector

Total: 0 (UNKNOWN: 0, LOW: 0, MEDIUM: 0, HIGH: 0, CRITICAL: 0)


namespace: cert-manager, deployment: cert-manager-cainjector (gobinary)

Total: 2 (UNKNOWN: 0, LOW: 0, MEDIUM: 0, HIGH: 1, CRITICAL: 1)

┌─────────────────────┬────────────────┬──────────┬────────┬───────────────────┬───────────────┬────────────────────────────────────────────────────────┐
│       Library       │ Vulnerability  │ Severity │ Status │ Installed Version │ Fixed Version │                         Title                          │
├─────────────────────┼────────────────┼──────────┼────────┼───────────────────┼───────────────┼────────────────────────────────────────────────────────┤
│ golang.org/x/crypto │ CVE-2024-45337 │ CRITICAL │ fixed  │ v0.27.0           │ 0.31.0        │ golang.org/x/crypto/ssh: Misuse of                     │
│                     │                │          │        │                   │               │ ServerConfig.PublicKeyCallback may cause authorization │
│                     │                │          │        │                   │               │ bypass in golang.org/x/crypto                          │
│                     │                │          │        │                   │               │ https://avd.aquasec.com/nvd/cve-2024-45337             │
├─────────────────────┼────────────────┼──────────┤        ├───────────────────┼───────────────┼────────────────────────────────────────────────────────┤
│ golang.org/x/net    │ CVE-2024-45338 │ HIGH     │        │ v0.29.0           │ 0.33.0        │ golang.org/x/net/html: Non-linear parsing of           │
│                     │                │          │        │                   │               │ case-insensitive content in golang.org/x/net/html      │
│                     │                │          │        │                   │               │ https://avd.aquasec.com/nvd/cve-2024-45338             │
└─────────────────────┴────────────────┴──────────┴────────┴───────────────────┴───────────────┴────────────────────────────────────────────────────────┘

namespace: cert-manager, deployment: cert-manager (kubernetes)

Tests: 110 (SUCCESSES: 104, FAILURES: 6)
Failures: 6 (UNKNOWN: 0, LOW: 6, MEDIUM: 0, HIGH: 0, CRITICAL: 0)

AVD-KSV-0011 (LOW): Container 'cert-manager-controller' of Deployment 'cert-manager' should set 'resources.limits.cpu'
═════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════
Enforcing CPU limits prevents DoS via resource exhaustion.

See https://avd.aquasec.com/misconfig/ksv011
─────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────
 namespace: cert-manager, deployment: cert-manager:34-70
─────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────
  34 ┌                 - args:
  35 │                     - --v=2
  36 │                     - --cluster-resource-namespace=$(POD_NAMESPACE)
  37 │                     - --leader-election-namespace=kube-system
  38 │                     - --acme-http01-solver-image=quay.io/jetstack/cert-manager-acmesolver:v1.16.2
  39 │                     - --max-concurrent-challenges=60
  40 │                   env:
  41 │                     - name: POD_NAMESPACE
  42 └                       valueFrom:
  ..
─────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────


AVD-KSV-0015 (LOW): Container 'cert-manager-controller' of Deployment 'cert-manager' should set 'resources.requests.cpu'
═════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════
When containers have resource requests specified, the scheduler can make better decisions about which nodes to place pods on, and how to deal with resource contention.

See https://avd.aquasec.com/misconfig/ksv015
─────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────
 namespace: cert-manager, deployment: cert-manager:34-70
─────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────
  34 ┌                 - args:
  35 │                     - --v=2
  36 │                     - --cluster-resource-namespace=$(POD_NAMESPACE)
  37 │                     - --leader-election-namespace=kube-system
  38 │                     - --acme-http01-solver-image=quay.io/jetstack/cert-manager-acmesolver:v1.16.2
  39 │                     - --max-concurrent-challenges=60
  40 │                   env:
  41 │                     - name: POD_NAMESPACE
  42 └                       valueFrom:
  ..
─────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────


AVD-KSV-0016 (LOW): Container 'cert-manager-controller' of Deployment 'cert-manager' should set 'resources.requests.memory'
═════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════
When containers have memory requests specified, the scheduler can make better decisions about which nodes to place pods on, and how to deal with resource contention.

See https://avd.aquasec.com/misconfig/ksv016
─────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────
 namespace: cert-manager, deployment: cert-manager:34-70
─────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────
  34 ┌                 - args:
  35 │                     - --v=2
  36 │                     - --cluster-resource-namespace=$(POD_NAMESPACE)
  37 │                     - --leader-election-namespace=kube-system
  38 │                     - --acme-http01-solver-image=quay.io/jetstack/cert-manager-acmesolver:v1.16.2
  39 │                     - --max-concurrent-challenges=60
  40 │                   env:
  41 │                     - name: POD_NAMESPACE
  42 └                       valueFrom:
  ..
─────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────


AVD-KSV-0018 (LOW): Container 'cert-manager-controller' of Deployment 'cert-manager' should set 'resources.limits.memory'
═════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════
Enforcing memory limits prevents DoS via resource exhaustion.

See https://avd.aquasec.com/misconfig/ksv018
─────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────
 namespace: cert-manager, deployment: cert-manager:34-70
─────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────
  34 ┌                 - args:
  35 │                     - --v=2
  36 │                     - --cluster-resource-namespace=$(POD_NAMESPACE)
  37 │                     - --leader-election-namespace=kube-system
  38 │                     - --acme-http01-solver-image=quay.io/jetstack/cert-manager-acmesolver:v1.16.2
  39 │                     - --max-concurrent-challenges=60
  40 │                   env:
  41 │                     - name: POD_NAMESPACE
  42 └                       valueFrom:
  ..
─────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────


AVD-KSV-0020 (LOW): Container 'cert-manager-controller' of Deployment 'cert-manager' should set 'securityContext.runAsUser' > 10000
═════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════
Force the container to run with user ID > 10000 to avoid conflicts with the host’s user table.

See https://avd.aquasec.com/misconfig/ksv020
─────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────
 namespace: cert-manager, deployment: cert-manager:34-70
─────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────
  34 ┌                 - args:
  35 │                     - --v=2
  36 │                     - --cluster-resource-namespace=$(POD_NAMESPACE)
  37 │                     - --leader-election-namespace=kube-system
  38 │                     - --acme-http01-solver-image=quay.io/jetstack/cert-manager-acmesolver:v1.16.2
  39 │                     - --max-concurrent-challenges=60
  40 │                   env:
  41 │                     - name: POD_NAMESPACE
  42 └                       valueFrom:
  ..
─────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────


AVD-KSV-0021 (LOW): Container 'cert-manager-controller' of Deployment 'cert-manager' should set 'securityContext.runAsGroup' > 10000
═════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════
Force the container to run with group ID > 10000 to avoid conflicts with the host’s user table.

See https://avd.aquasec.com/misconfig/ksv021
─────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────
 namespace: cert-manager, deployment: cert-manager:34-70
─────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────
  34 ┌                 - args:
  35 │                     - --v=2
  36 │                     - --cluster-resource-namespace=$(POD_NAMESPACE)
  37 │                     - --leader-election-namespace=kube-system
  38 │                     - --acme-http01-solver-image=quay.io/jetstack/cert-manager-acmesolver:v1.16.2
  39 │                     - --max-concurrent-challenges=60
  40 │                   env:
  41 │                     - name: POD_NAMESPACE
  42 └                       valueFrom:
  ..
─────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────



namespace: cert-manager, deployment: cert-manager-cainjector (kubernetes)

Tests: 110 (SUCCESSES: 104, FAILURES: 6)
Failures: 6 (UNKNOWN: 0, LOW: 6, MEDIUM: 0, HIGH: 0, CRITICAL: 0)

AVD-KSV-0011 (LOW): Container 'cert-manager-cainjector' of Deployment 'cert-manager-cainjector' should set 'resources.limits.cpu'
═════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════
Enforcing CPU limits prevents DoS via resource exhaustion.

See https://avd.aquasec.com/misconfig/ksv011
─────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────
 namespace: cert-manager, deployment: cert-manager-cainjector:34-54
─────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────
  34 ┌                 - args:
  35 │                     - --v=2
  36 │                     - --leader-election-namespace=kube-system
  37 │                   env:
  38 │                     - name: POD_NAMESPACE
  39 │                       valueFrom:
  40 │                         fieldRef:
  41 │                             fieldPath: metadata.namespace
  42 └                   image: quay.io/jetstack/cert-manager-cainjector:v1.16.2
  ..
─────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────


AVD-KSV-0015 (LOW): Container 'cert-manager-cainjector' of Deployment 'cert-manager-cainjector' should set 'resources.requests.cpu'
═════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════
When containers have resource requests specified, the scheduler can make better decisions about which nodes to place pods on, and how to deal with resource contention.

See https://avd.aquasec.com/misconfig/ksv015
─────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────
 namespace: cert-manager, deployment: cert-manager-cainjector:34-54
─────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────
  34 ┌                 - args:
  35 │                     - --v=2
  36 │                     - --leader-election-namespace=kube-system
  37 │                   env:
  38 │                     - name: POD_NAMESPACE
  39 │                       valueFrom:
  40 │                         fieldRef:
  41 │                             fieldPath: metadata.namespace
  42 └                   image: quay.io/jetstack/cert-manager-cainjector:v1.16.2
  ..
─────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────


AVD-KSV-0016 (LOW): Container 'cert-manager-cainjector' of Deployment 'cert-manager-cainjector' should set 'resources.requests.memory'
═════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════
When containers have memory requests specified, the scheduler can make better decisions about which nodes to place pods on, and how to deal with resource contention.

See https://avd.aquasec.com/misconfig/ksv016
─────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────
 namespace: cert-manager, deployment: cert-manager-cainjector:34-54
─────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────
  34 ┌                 - args:
  35 │                     - --v=2
  36 │                     - --leader-election-namespace=kube-system
  37 │                   env:
  38 │                     - name: POD_NAMESPACE
  39 │                       valueFrom:
  40 │                         fieldRef:
  41 │                             fieldPath: metadata.namespace
  42 └                   image: quay.io/jetstack/cert-manager-cainjector:v1.16.2
  ..
─────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────


AVD-KSV-0018 (LOW): Container 'cert-manager-cainjector' of Deployment 'cert-manager-cainjector' should set 'resources.limits.memory'
═════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════
Enforcing memory limits prevents DoS via resource exhaustion.

See https://avd.aquasec.com/misconfig/ksv018
─────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────
 namespace: cert-manager, deployment: cert-manager-cainjector:34-54
─────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────
  34 ┌                 - args:
  35 │                     - --v=2
  36 │                     - --leader-election-namespace=kube-system
  37 │                   env:
  38 │                     - name: POD_NAMESPACE
  39 │                       valueFrom:
  40 │                         fieldRef:
  41 │                             fieldPath: metadata.namespace
  42 └                   image: quay.io/jetstack/cert-manager-cainjector:v1.16.2
  ..
─────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────


AVD-KSV-0020 (LOW): Container 'cert-manager-cainjector' of Deployment 'cert-manager-cainjector' should set 'securityContext.runAsUser' > 10000
═════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════
Force the container to run with user ID > 10000 to avoid conflicts with the host’s user table.

See https://avd.aquasec.com/misconfig/ksv020
─────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────
 namespace: cert-manager, deployment: cert-manager-cainjector:34-54
─────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────
  34 ┌                 - args:
  35 │                     - --v=2
  36 │                     - --leader-election-namespace=kube-system
  37 │                   env:
  38 │                     - name: POD_NAMESPACE
  39 │                       valueFrom:
  40 │                         fieldRef:
  41 │                             fieldPath: metadata.namespace
  42 └                   image: quay.io/jetstack/cert-manager-cainjector:v1.16.2
  ..
─────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────


AVD-KSV-0021 (LOW): Container 'cert-manager-cainjector' of Deployment 'cert-manager-cainjector' should set 'securityContext.runAsGroup' > 10000
═════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════
Force the container to run with group ID > 10000 to avoid conflicts with the host’s user table.

See https://avd.aquasec.com/misconfig/ksv021
─────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────
 namespace: cert-manager, deployment: cert-manager-cainjector:34-54
─────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────
  34 ┌                 - args:
  35 │                     - --v=2
  36 │                     - --leader-election-namespace=kube-system
  37 │                   env:
  38 │                     - name: POD_NAMESPACE
  39 │                       valueFrom:
  40 │                         fieldRef:
  41 │                             fieldPath: metadata.namespace
  42 └                   image: quay.io/jetstack/cert-manager-cainjector:v1.16.2
  ..
─────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────



namespace: cert-manager, deployment: cert-manager-webhook (kubernetes)

Tests: 110 (SUCCESSES: 104, FAILURES: 6)
Failures: 6 (UNKNOWN: 0, LOW: 6, MEDIUM: 0, HIGH: 0, CRITICAL: 0)

AVD-KSV-0011 (LOW): Container 'cert-manager-webhook' of Deployment 'cert-manager-webhook' should set 'resources.limits.cpu'
═════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════
Enforcing CPU limits prevents DoS via resource exhaustion.

See https://avd.aquasec.com/misconfig/ksv011
─────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────
 namespace: cert-manager, deployment: cert-manager-webhook:34-85
─────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────
  34 ┌                 - args:
  35 │                     - --v=2
  36 │                     - --secure-port=10250
  37 │                     - --dynamic-serving-ca-secret-namespace=$(POD_NAMESPACE)
  38 │                     - --dynamic-serving-ca-secret-name=cert-manager-webhook-ca
  39 │                     - --dynamic-serving-dns-names=cert-manager-webhook
  40 │                     - --dynamic-serving-dns-names=cert-manager-webhook.$(POD_NAMESPACE)
  41 │                     - --dynamic-serving-dns-names=cert-manager-webhook.$(POD_NAMESPACE).svc
  42 └                   env:
  ..
─────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────


AVD-KSV-0015 (LOW): Container 'cert-manager-webhook' of Deployment 'cert-manager-webhook' should set 'resources.requests.cpu'
═════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════
When containers have resource requests specified, the scheduler can make better decisions about which nodes to place pods on, and how to deal with resource contention.

See https://avd.aquasec.com/misconfig/ksv015
─────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────
 namespace: cert-manager, deployment: cert-manager-webhook:34-85
─────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────
  34 ┌                 - args:
  35 │                     - --v=2
  36 │                     - --secure-port=10250
  37 │                     - --dynamic-serving-ca-secret-namespace=$(POD_NAMESPACE)
  38 │                     - --dynamic-serving-ca-secret-name=cert-manager-webhook-ca
  39 │                     - --dynamic-serving-dns-names=cert-manager-webhook
  40 │                     - --dynamic-serving-dns-names=cert-manager-webhook.$(POD_NAMESPACE)
  41 │                     - --dynamic-serving-dns-names=cert-manager-webhook.$(POD_NAMESPACE).svc
  42 └                   env:
  ..
─────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────


AVD-KSV-0016 (LOW): Container 'cert-manager-webhook' of Deployment 'cert-manager-webhook' should set 'resources.requests.memory'
═════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════
When containers have memory requests specified, the scheduler can make better decisions about which nodes to place pods on, and how to deal with resource contention.

See https://avd.aquasec.com/misconfig/ksv016
─────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────
 namespace: cert-manager, deployment: cert-manager-webhook:34-85
─────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────
  34 ┌                 - args:
  35 │                     - --v=2
  36 │                     - --secure-port=10250
  37 │                     - --dynamic-serving-ca-secret-namespace=$(POD_NAMESPACE)
  38 │                     - --dynamic-serving-ca-secret-name=cert-manager-webhook-ca
  39 │                     - --dynamic-serving-dns-names=cert-manager-webhook
  40 │                     - --dynamic-serving-dns-names=cert-manager-webhook.$(POD_NAMESPACE)
  41 │                     - --dynamic-serving-dns-names=cert-manager-webhook.$(POD_NAMESPACE).svc
  42 └                   env:
  ..
─────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────


AVD-KSV-0018 (LOW): Container 'cert-manager-webhook' of Deployment 'cert-manager-webhook' should set 'resources.limits.memory'
═════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════
Enforcing memory limits prevents DoS via resource exhaustion.

See https://avd.aquasec.com/misconfig/ksv018
─────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────
 namespace: cert-manager, deployment: cert-manager-webhook:34-85
─────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────
  34 ┌                 - args:
  35 │                     - --v=2
  36 │                     - --secure-port=10250
  37 │                     - --dynamic-serving-ca-secret-namespace=$(POD_NAMESPACE)
  38 │                     - --dynamic-serving-ca-secret-name=cert-manager-webhook-ca
  39 │                     - --dynamic-serving-dns-names=cert-manager-webhook
  40 │                     - --dynamic-serving-dns-names=cert-manager-webhook.$(POD_NAMESPACE)
  41 │                     - --dynamic-serving-dns-names=cert-manager-webhook.$(POD_NAMESPACE).svc
  42 └                   env:
  ..
─────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────


AVD-KSV-0020 (LOW): Container 'cert-manager-webhook' of Deployment 'cert-manager-webhook' should set 'securityContext.runAsUser' > 10000
═════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════
Force the container to run with user ID > 10000 to avoid conflicts with the host’s user table.

See https://avd.aquasec.com/misconfig/ksv020
─────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────
 namespace: cert-manager, deployment: cert-manager-webhook:34-85
─────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────
  34 ┌                 - args:
  35 │                     - --v=2
  36 │                     - --secure-port=10250
  37 │                     - --dynamic-serving-ca-secret-namespace=$(POD_NAMESPACE)
  38 │                     - --dynamic-serving-ca-secret-name=cert-manager-webhook-ca
  39 │                     - --dynamic-serving-dns-names=cert-manager-webhook
  40 │                     - --dynamic-serving-dns-names=cert-manager-webhook.$(POD_NAMESPACE)
  41 │                     - --dynamic-serving-dns-names=cert-manager-webhook.$(POD_NAMESPACE).svc
  42 └                   env:
  ..
─────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────


AVD-KSV-0021 (LOW): Container 'cert-manager-webhook' of Deployment 'cert-manager-webhook' should set 'securityContext.runAsGroup' > 10000
═════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════
Force the container to run with group ID > 10000 to avoid conflicts with the host’s user table.

See https://avd.aquasec.com/misconfig/ksv021
─────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────
 namespace: cert-manager, deployment: cert-manager-webhook:34-85
─────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────
  34 ┌                 - args:
  35 │                     - --v=2
  36 │                     - --secure-port=10250
  37 │                     - --dynamic-serving-ca-secret-namespace=$(POD_NAMESPACE)
  38 │                     - --dynamic-serving-ca-secret-name=cert-manager-webhook-ca
  39 │                     - --dynamic-serving-dns-names=cert-manager-webhook
  40 │                     - --dynamic-serving-dns-names=cert-manager-webhook.$(POD_NAMESPACE)
  41 │                     - --dynamic-serving-dns-names=cert-manager-webhook.$(POD_NAMESPACE).svc
  42 └                   env:
  ..
─────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────



namespace: cert-manager, role: cert-manager-webhook:dynamic-serving (kubernetes)

Tests: 111 (SUCCESSES: 109, FAILURES: 2)
Failures: 2 (UNKNOWN: 0, LOW: 0, MEDIUM: 2, HIGH: 0, CRITICAL: 0)

AVD-KSV-0113 (MEDIUM): Role 'cert-manager-webhook:dynamic-serving' shouldn't have access to manage secrets in namespace 'cert-manager'
═════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════
Viewing secrets at the namespace scope can lead to escalation if another service account in that namespace has a higher privileged rolebinding or clusterrolebinding bound.

See https://avd.aquasec.com/misconfig/ksv113
─────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────
 namespace: cert-manager, role: cert-manager-webhook:dynamic-serving:14-24
─────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────
  14 ┌     - apiGroups:
  15 │         - ""
  16 │       resourceNames:
  17 │         - cert-manager-webhook-ca
  18 │       resources:
  19 │         - secrets
  20 │       verbs:
  21 │         - get
  22 └         - list
  ..
─────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────


AVD-KSV-0113 (MEDIUM): Role 'cert-manager-webhook:dynamic-serving' shouldn't have access to manage secrets in namespace 'cert-manager'
═════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════
Viewing secrets at the namespace scope can lead to escalation if another service account in that namespace has a higher privileged rolebinding or clusterrolebinding bound.

See https://avd.aquasec.com/misconfig/ksv113
─────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────
 namespace: cert-manager, role: cert-manager-webhook:dynamic-serving:25-30
─────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────
  25 ┌     - apiGroups:
  26 │         - ""
  27 │       resources:
  28 │         - secrets
  29 │       verbs:
  30 └         - create
─────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────

for example, you can filter these misconfigs by severity:

$ trivy k8s --report all --include-namespaces cert-manager --severity HIGH,CRITICAL

ak2766 Feb 20, 2025
Author

Thanks for the detailed response, @afdesk.

If I were to use --skip-images, wouldn't that mean I'm also going to skip the images that make up my workloads? If not, what exactly will be skipped?

Additionally, I tried the scanner on the filesystem of my NodeJS project and it reported some vulnerabilities against some packages that are not in any package.json or package-lock.json file in the project. How exactly is trivy getting this information? Does it attempt to resolve the dependency tree for each module in the package.json and/or package-lock.json files?

Does Aqua Security have office hours where the public can come in and pose a few questions live?

ak2766 Feb 20, 2025
Author

Here's a portion of the filesystem scan report:

package-lock.json (npm)                                                                                                                                                                                                        
                                                                                                                                                                                                                               
Total: 44 (UNKNOWN: 0, LOW: 7, MEDIUM: 24, HIGH: 13, CRITICAL: 0)                                                                                                                                                              
                                                                                                                                                                                                                               
┌───────────────────────┬─────────────────────┬──────────┬──────────┬───────────────────┬────────────────────────────────────┬──────────────────────────────────────────────────────────────┐                                  
│        Library        │    Vulnerability    │ Severity │  Status  │ Installed Version │           Fixed Version            │                            Title                             │                                  
├───────────────────────┼─────────────────────┼──────────┼──────────┼───────────────────┼────────────────────────────────────┼──────────────────────────────────────────────────────────────┤                                  
│ @azure/identity       │ CVE-2024-35255      │ MEDIUM   │ fixed    │ 3.0.0             │ 4.2.1                              │ azure-identity: Azure Identity Libraries Elevation of        │
│                       │                     │          │          │                   │                                    │ Privilege Vulnerability in                                   │
│                       │                     │          │          │                   │                                    │ github.com/Azure/azure-sdk-for-go/sdk/azidentity             │
│                       │                     │          │          │                   │                                    │ https://avd.aquasec.com/nvd/cve-2024-35255                   │
├───────────────────────┼─────────────────────┤          │          ├───────────────────┼────────────────────────────────────┼──────────────────────────────────────────────────────────────┤
│ axios                 │ CVE-2023-45857      │          │          │ 0.27.2            │ 1.6.0, 0.28.0                      │ axios: exposure of confidential data stored in cookies       │
│                       │                     │          │          │                   │                                    │ https://avd.aquasec.com/nvd/cve-2023-45857                   │
├───────────────────────┼─────────────────────┼──────────┤          ├───────────────────┼────────────────────────────────────┼──────────────────────────────────────────────────────────────┤
│ body-parser           │ CVE-2024-45590      │ HIGH     │          │ 1.20.1            │ 1.20.3                             │ body-parser: Denial of Service Vulnerability in body-parser  │
│                       │                     │          │          │                   │                                    │ https://avd.aquasec.com/nvd/cve-2024-45590                   │
├───────────────────────┼─────────────────────┤          │          ├───────────────────┼────────────────────────────────────┼──────────────────────────────────────────────────────────────┤
│ braces                │ CVE-2024-4068       │          │          │ 3.0.2             │ 3.0.3                              │ braces: fails to limit the number of characters it can       │
│                       │                     │          │          │                   │                                    │ handle                                                       │
│                       │                     │          │          │                   │                                    │ https://avd.aquasec.com/nvd/cve-2024-4068                    │
├───────────────────────┼─────────────────────┼──────────┤          ├───────────────────┼────────────────────────────────────┼──────────────────────────────────────────────────────────────┤

As you can see, body-parser has been flagged as having a high severity vulnerability. However, this gives me nothing to do with body-parser:

$ > find . -type f -name package.*json -exec egrep -iH 'parser' {} \;
./package.json:    "cookie-parser": "^1.4.6",

I'm really trying to like this seemingly awesome tool but I'm getting lost in all this noise.

ak2766 Feb 20, 2025
Author

So I learnt about your office hours at: https://aquademy.aquasec.com/courses/aqua-office-hours-february-edition-emea

However, when I try to register for the Feb 26th session by clicking the "Register Now" button, I'm redirected to a login page for aqua academy. But since I do not have an account, that's impossible. There's a chicken, but since there's no egg, there can't be a chicken. Help!

Provide feedback

Saved searches

Use saved searches to filter your results more quickly

How do I interpret CRITICAL vulnerability on (gobinary)? #8205

{{title}}

Replies: 2 comments 6 replies

{{title}}

{{title}}

{{title}}

{{title}}

{{editor}}'s edit

{{editor}}'s edit

{{title}}

{{title}}

{{editor}}'s edit

{{editor}}'s edit

{{title}}

{{title}}

Select a reply

How do I interpret CRITICAL vulnerability on (gobinary)? #8205

ak2766 Jan 6, 2025

Question

Target

Scanner

Output Format

Mode

Operating System

Version

Replies: 2 comments · 6 replies

ak2766 Jan 7, 2025 Author

knqyf263 Jan 7, 2025 Maintainer

ak2766 Jan 7, 2025 Author

afdesk Jan 13, 2025 Maintainer

afdesk Jan 13, 2025 Maintainer

ak2766 Feb 20, 2025 Author

ak2766 Feb 20, 2025 Author

ak2766 Feb 20, 2025 Author

ak2766
Jan 6, 2025

Replies: 2 comments 6 replies

ak2766
Jan 7, 2025
Author

knqyf263 Jan 7, 2025
Maintainer

ak2766 Jan 7, 2025
Author

afdesk
Jan 13, 2025
Maintainer

afdesk Jan 13, 2025
Maintainer

ak2766 Feb 20, 2025
Author

ak2766 Feb 20, 2025
Author

ak2766 Feb 20, 2025
Author