120 app vulnerabilities in example #93
Description
Current behavior
Dependencies of the app configured in https://github.com/docker/getting-started-app contain multiple vulnerabilities:
120 vulnerabilities found - Packages audited: 445
Severity: 18 Low | 34 Moderate | 54 High | 14 Critical
Desired behavior
Following the instructions in https://docs.docker.com/get-started/workshop/ should configure an application with no critical vulnerabilities, and preferably no lower severity vulnerabilities either.
Test code to reproduce
git clone https://github.com/docker/getting-started-app.git
cd getting-started-app
cat > Dockerfile <<EOT
# syntax=docker/dockerfile:1
FROM node:lts-alpine
WORKDIR /app
COPY . .
RUN yarn install --production
CMD ["node", "src/index.js"]
EXPOSE 3000
EOT
docker build -t getting-started .
docker run --rm --entrypoint yarn getting-started audit --level criticalDebug Logs
$ docker run --rm --entrypoint yarn getting-started audit --level critical
yarn audit v1.22.22
(node:1) [DEP0169] DeprecationWarning: `url.parse()` behavior is not standardized and prone to errors that have security implications. Use the WHATWG URL API instead. CVEs are not issued for `url.parse()` vulnerabilities.
(Use `node --trace-deprecation ...` to show where the warning was created)
┌───────────────┬──────────────────────────────────────────────────────────────┐
│ critical │ mysql2 Remote Code Execution (RCE) via the readCodeFor │
│ │ function │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Package │ mysql2 │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Patched in │ >=3.9.4 │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Dependency of │ mysql2 │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Path │ mysql2 │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ More info │ https://www.npmjs.com/advisories/1096970 │
└───────────────┴──────────────────────────────────────────────────────────────┘
┌───────────────┬──────────────────────────────────────────────────────────────┐
│ critical │ MySQL2 for Node Arbitrary Code Injection │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Package │ mysql2 │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Patched in │ >=3.9.7 │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Dependency of │ mysql2 │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Path │ mysql2 │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ More info │ https://www.npmjs.com/advisories/1097180 │
└───────────────┴──────────────────────────────────────────────────────────────┘
┌───────────────┬──────────────────────────────────────────────────────────────┐
│ critical │ Babel vulnerable to arbitrary code execution when compiling │
│ │ specifically crafted malicious code │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Package │ @babel/traverse │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Patched in │ >=7.23.2 │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Dependency of │ jest │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Path │ jest > @jest/core > jest-snapshot > @babel/traverse │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ More info │ https://www.npmjs.com/advisories/1096886 │
└───────────────┴──────────────────────────────────────────────────────────────┘
┌───────────────┬──────────────────────────────────────────────────────────────┐
│ critical │ Babel vulnerable to arbitrary code execution when compiling │
│ │ specifically crafted malicious code │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Package │ @babel/traverse │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Patched in │ >=7.23.2 │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Dependency of │ jest │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Path │ jest > @jest/core > @jest/transform > @babel/core > │
│ │ @babel/traverse │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ More info │ https://www.npmjs.com/advisories/1096886 │
└───────────────┴──────────────────────────────────────────────────────────────┘
┌───────────────┬──────────────────────────────────────────────────────────────┐
│ critical │ Babel vulnerable to arbitrary code execution when compiling │
│ │ specifically crafted malicious code │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Package │ @babel/traverse │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Patched in │ >=7.23.2 │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Dependency of │ jest │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Path │ jest > @jest/core > @jest/transform > @babel/core > │
│ │ @babel/helper-module-transforms > @babel/traverse │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ More info │ https://www.npmjs.com/advisories/1096886 │
└───────────────┴──────────────────────────────────────────────────────────────┘
┌───────────────┬──────────────────────────────────────────────────────────────┐
│ critical │ Babel vulnerable to arbitrary code execution when compiling │
│ │ specifically crafted malicious code │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Package │ @babel/traverse │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Patched in │ >=7.23.2 │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Dependency of │ jest │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Path │ jest > @jest/core > @jest/reporters > @jest/transform > │
│ │ @babel/core > @babel/helper-module-transforms > │
│ │ @babel/traverse │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ More info │ https://www.npmjs.com/advisories/1096886 │
└───────────────┴──────────────────────────────────────────────────────────────┘
┌───────────────┬──────────────────────────────────────────────────────────────┐
│ critical │ Babel vulnerable to arbitrary code execution when compiling │
│ │ specifically crafted malicious code │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Package │ @babel/traverse │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Patched in │ >=7.23.2 │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Dependency of │ jest │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Path │ jest > jest-cli > @jest/core > @jest/reporters > │
│ │ @jest/transform > @babel/core > │
│ │ @babel/helper-module-transforms > @babel/traverse │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ More info │ https://www.npmjs.com/advisories/1096886 │
└───────────────┴──────────────────────────────────────────────────────────────┘
┌───────────────┬──────────────────────────────────────────────────────────────┐
│ critical │ Babel vulnerable to arbitrary code execution when compiling │
│ │ specifically crafted malicious code │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Package │ @babel/traverse │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Patched in │ >=7.23.2 │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Dependency of │ jest │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Path │ jest > jest-cli > @jest/core > jest-config > babel-jest > │
│ │ @jest/transform > @babel/core > │
│ │ @babel/helper-module-transforms > @babel/traverse │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ More info │ https://www.npmjs.com/advisories/1096886 │
└───────────────┴──────────────────────────────────────────────────────────────┘
┌───────────────┬──────────────────────────────────────────────────────────────┐
│ critical │ Babel vulnerable to arbitrary code execution when compiling │
│ │ specifically crafted malicious code │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Package │ @babel/traverse │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Patched in │ >=7.23.2 │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Dependency of │ jest │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Path │ jest > @jest/core > jest-config > jest-circus > @jest/expect │
│ │ > jest-snapshot > @jest/transform > @babel/core > │
│ │ @babel/helper-module-transforms > @babel/traverse │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ More info │ https://www.npmjs.com/advisories/1096886 │
└───────────────┴──────────────────────────────────────────────────────────────┘
┌───────────────┬──────────────────────────────────────────────────────────────┐
│ critical │ Babel vulnerable to arbitrary code execution when compiling │
│ │ specifically crafted malicious code │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Package │ @babel/traverse │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Patched in │ >=7.23.2 │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Dependency of │ jest │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Path │ jest > jest-cli > @jest/core > jest-config > jest-circus > │
│ │ @jest/expect > jest-snapshot > @jest/transform > @babel/core │
│ │ > @babel/helper-module-transforms > @babel/traverse │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ More info │ https://www.npmjs.com/advisories/1096886 │
└───────────────┴──────────────────────────────────────────────────────────────┘
┌───────────────┬──────────────────────────────────────────────────────────────┐
│ critical │ Babel vulnerable to arbitrary code execution when compiling │
│ │ specifically crafted malicious code │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Package │ @babel/traverse │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Patched in │ >=7.23.2 │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Dependency of │ jest │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Path │ jest > @jest/core > jest-config > jest-circus > jest-runtime │
│ │ > @jest/globals > @jest/expect > jest-snapshot > │
│ │ @jest/transform > @babel/core > │
│ │ @babel/helper-module-transforms > @babel/traverse │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ More info │ https://www.npmjs.com/advisories/1096886 │
└───────────────┴──────────────────────────────────────────────────────────────┘
┌───────────────┬──────────────────────────────────────────────────────────────┐
│ critical │ Babel vulnerable to arbitrary code execution when compiling │
│ │ specifically crafted malicious code │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Package │ @babel/traverse │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Patched in │ >=7.23.2 │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Dependency of │ jest │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Path │ jest > jest-cli > @jest/core > jest-config > jest-circus > │
│ │ jest-runtime > @jest/globals > @jest/expect > jest-snapshot │
│ │ > @jest/transform > @babel/core > │
│ │ @babel/helper-module-transforms > @babel/traverse │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ More info │ https://www.npmjs.com/advisories/1096886 │
└───────────────┴──────────────────────────────────────────────────────────────┘
┌───────────────┬──────────────────────────────────────────────────────────────┐
│ critical │ Babel vulnerable to arbitrary code execution when compiling │
│ │ specifically crafted malicious code │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Package │ @babel/traverse │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Patched in │ >=7.23.2 │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Dependency of │ jest │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Path │ jest > @jest/core > jest-config > jest-circus > jest-runtime │
│ │ > @jest/globals > @jest/expect > jest-snapshot > │
│ │ @jest/transform > babel-plugin-istanbul > │
│ │ istanbul-lib-instrument > @babel/core > │
│ │ @babel/helper-module-transforms > @babel/traverse │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ More info │ https://www.npmjs.com/advisories/1096886 │
└───────────────┴──────────────────────────────────────────────────────────────┘
┌───────────────┬──────────────────────────────────────────────────────────────┐
│ critical │ Babel vulnerable to arbitrary code execution when compiling │
│ │ specifically crafted malicious code │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Package │ @babel/traverse │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Patched in │ >=7.23.2 │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Dependency of │ jest │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Path │ jest > jest-cli > @jest/core > jest-config > jest-circus > │
│ │ jest-runtime > @jest/globals > @jest/expect > jest-snapshot │
│ │ > @jest/transform > babel-plugin-istanbul > │
│ │ istanbul-lib-instrument > @babel/core > │
│ │ @babel/helper-module-transforms > @babel/traverse │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ More info │ https://www.npmjs.com/advisories/1096886 │
└───────────────┴──────────────────────────────────────────────────────────────┘
120 vulnerabilities found - Packages audited: 445
Severity: 18 Low | 34 Moderate | 54 High | 14 Critical
Done in 0.99s.