[agentHits]

Traefik — единственный компонент серверов, который открыт в интернет (порт 443). Trivy нашёл в закреплённой версии traefik:v3.7.14 6 серьёзных (high) уязвимостей, для которых вышли исправления: в go-jose, golang.org/x/net и Go stdlib. Этот PR поднимает Traefik до 3.7.16 и добавляет в еженедельный аудит образы Traefik, Postgres и Redis: до сих пор их никто не проверял.

Что изменилось

• Traefik 3.7.14 → 3.7.16. Новая версия используется везде, где форк ставит или обновляет Traefik:
  • PINNED_VERSIONS;
  • установщик install-agenthits.sh;
  • значение по умолчанию в панели;
  • документация.
• Аудит образов. image-audit.yml каждый понедельник сканирует не только образ панели, но и закреплённые traefik, postgres и redis, каждый отдельной задачей. Тест component-versions-sync.test.ts следит, чтобы их теги совпадали с PINNED_VERSIONS.
• Исключения.
  • В Traefik 3.7.16 остаётся одна уязвимость: CVE-2026-116587, отказ в обслуживании при разборе JWK в go-jose 4.1.5. Её исправили в go-jose 4.1.6, а более нового Traefik пока нет. Она внесена в .trivyignore.yaml до 2026-11-27.
  • В postgres:18.6 все 26 исправимых находок сидят в gosu 1.19 (собран на Go 1.24.6). gosu нужен только при запуске контейнера, чтобы переключиться на пользователя postgres. В файл исключений пришлось бы вписать каждую из 26 находок, поэтому файл usr/local/bin/gosu пропускается до 2026-11-27. gosu 1.20 вышел 25 октября; когда образ Postgres его подхватит, исключение станет не нужно.
  • После этой даты аудит снова упадёт и напомнит проверить новые релизы.
• Без исправлений. Находки в пакетах Debian внутри Postgres и Redis исправлений не имеют, поэтому аудит их не учитывает, как и в образе панели.

Что это значит для серверов

• Сами серверы не обновятся. Traefik 3.7.16 попадёт на сервер только по кнопке Components → Update на карточке сервера. Она коротко перезапускает Traefik: порт 443 недоступен, пока стартует новый контейнер. Если новый Traefik не поднимется за 10 секунд, кнопка вернёт старый.
• Что меняется в поведении Traefik (по руководству по миграции):
  • с 3.7.15 Traefik отвечает 501 на любой запрос CONNECT, в том числе по HTTP/2 и HTTP/3. По HTTP/1 он отклонял его и раньше, с 3.7.9. Прямой прокси за HTTP-роутером Traefik так работать не будет, его нужно вести через TCP-роутер;
  • изменения провайдера Kubernetes Gateway API к Swarm не относятся.
• Сертификаты по-прежнему получаются только через порт 443 (tlsChallenge), порт 80 не открывается.

Проверки

• Trivy 0.76.1:
  • traefik:v3.7.14 — 6 high;
  • traefik:v3.7.16 — 1 high, в исключениях;
  • postgres:18.6 — 1 critical и 25 high, все в gosu;
  • redis:8.10.2 — ни одной исправимой.
• Шаг сканирования из image-audit.yml, запущенный локально той же командой:
  • Traefik, Postgres и Redis проходят;
  • с прошедшей датой исключения проверка Postgres падает, то есть напоминание сработает.
• Ручной запуск image-audit.yml на ветке этого PR (run 40744408627): все четыре задачи зелёные — панель (agenthits-dev после fix(image): drop unused binaries, bump bundled tools, scan the image with Trivy #118), Traefik, Postgres и Redis.
• vitest по 55 файлам, связанным с Traefik и закреплёнными версиями: 1164 из 1164. Biome, actionlint и bash -n install-agenthits.sh без замечаний.
• Не проверено: обновление Traefik кнопкой Components → Update на живом сервере.

🤖 Generated with Claude Code