我们当前的 docker 镜像基于 Debian 11。在将镜像发布到注册表之前，我们使用 Trivy 漏洞扫描工具。 Trivy 显示 Debian 最新映像中存在大约 100 多个高危和严重漏洞，但对于最新的 Ubuntu，我们没有看到任何高危和危急问题。
从 Debian 切换到 Ubuntu 作为我们所有 Docker 镜像的基础镜像有哪些优点和缺点？”
当所有用户开始使用基于Ubuntu（从Debian切换）的镜像时，是否有可能面临兼容性问题？如果是，那可能是什么？
答案1
不幸的是，Trivy 似乎与基于 Debian 的镜像不太相关（可能是因为 Debian 的元数据依赖于机器无法分析的消息）。对最新 Debian 11 镜像的 Trivy 扫描发现了 76 个漏洞；我没有看过所有 76 个，但前几个是不可利用的或已被定为次要：
- CVE-2011-3374在 Debian 中不需要修复
- CVE-2022-3715被认定为未成年人（如讨论如何解决 Debian 11.7 中 bash 软件包的漏洞 CVE-2022-3715？）
- CVE-2022-0563不会影响 Debian，因为 Debian 不提供易受攻击的程序
- CVE-2016-2781符合未成年人资格
- CVE-2017-18018通过内核强化来缓解
最重要的是，Trivy 会计算每个二进制包的 CVE，因此例如 CVE-2022-0563 会被计算多次 ( bsdutils, mount, util-linux)。
Ubuntu 中的情况并没有什么不同，但提供的元数据更准确地反映了发行版的最终情况；参见例如CVE-2022-0563标记为“不易受攻击”，与 Debian 的情况完全相同。
我对安全扫描仪的经验是它们可能很有用，但需要大量的工作才能理解它们的方法并得出准确的图片。正如其他地方提到的，Debian 和 Ubuntu 都收到安全更新。
您应该根据哪个基本映像最能满足您的目的来决定使用哪个基本映像，而不是哪个基本映像在您选择的任何安全扫描工具中获得最佳分数。我不认为在 Debian 和 Ubuntu 基础镜像之间切换会出现很多兼容性问题；但结果将取决于容器映像的具体内容。