J’ai un client qui utilisait une ancienne version et qui a apparemment été piraté en raison de vulnérabilités de sécurité dans ImageMagick et/ou libheif. Il a maintenant mis à jour vers la dernière version ESR, mais il utilise encore la version 1.23.1 et il insiste pour avoir la version 1.23.4 présente dans SECURITY: Update libheif to 1.23.4 (#1127) · discourse/discourse_docker@97c20dc · GitHub
Y a-t-il des plans pour mettre à jour l’image de base bientôt ? Sinon, la meilleure ou la façon la plus simple de faire est-elle d’éditer templates/web.template.yml et de mettre à jour l’image de base à cet endroit ? (Et puis espérer que je pense à annuler cette modification lorsque l’image de base sera effectivement mise à jour ?)
Je ne recommanderais pas de remplacer manuellement l’image de base — cela signifierait utiliser une image que nous n’avons pas testée pour une utilisation en production. De plus, il y a le risque d’oublier de déverrouiller la version, comme vous l’avez dit.
Je vais vérifier si nous pouvons mettre à jour l’image prochainement. Mais il est important de noter que tout le traitement d’image est désormais exécuté dans un environnement isolé (sandbox) pour se prémunir contre les vulnérabilités du type de celles présentes dans libheif :