🔖 Release : main reçoit le scan de vulnérabilités bloquant (RF_CICD#7) #4

2026-10-07T22:27:46+02:00

george-claude commented

2026-10-07 22:27:46 +02:00

Refs raggaroth-factory/RF_CICD#7. Cette release met le scan bloquant sur main, la branche que les consommateurs appellent (build-push@main).

La branche est prise telle quelle sur develop (9d88bc3), sans commit propre : il n'y aura rien à reporter sur develop.

Prérequis vérifié : l'image de job ubuntu24.04-3, avec trivy 0.75.0, est en service. verifier.sh → 21 verts, 0 rouge, dont « trivy 0.75.0 présent ».

Après fusion, la prochaine poussée sur develop du backend ou du frontend est le premier vrai run avec scan :

le backend doit passer : 44 HIGH, toutes sans correctif publié, rapportées sans bloquer ;
le frontend aussi, grâce à PRJ002#95.

Le sens « une image vulnérable est bloquée » a été prouvé sur banc. Sur un vrai run, il demandera une CVE réelle, ou un dépôt d'essai.

🤖 Generated with Claude Code

Refs raggaroth-factory/RF_CICD#7. Cette release met le scan bloquant sur `main`, la branche que les consommateurs appellent (`build-push@main`). La branche est prise telle quelle sur `develop` (9d88bc3), **sans commit propre** : il n'y aura rien à reporter sur `develop`. **Prérequis vérifié** : l'image de job `ubuntu24.04-3`, avec trivy 0.75.0, est en service. `verifier.sh` → 21 verts, 0 rouge, dont « trivy 0.75.0 présent ». **Après fusion**, la prochaine poussée sur `develop` du backend ou du frontend est le premier vrai run avec scan : - le backend doit passer : 44 HIGH, toutes sans correctif publié, rapportées sans bloquer ; - le frontend aussi, grâce à PRJ002#95. Le sens « une image vulnérable est bloquée » a été prouvé sur banc. Sur un vrai run, il demandera une CVE réelle, ou un dépôt d'essai. 🤖 Generated with [Claude Code](https://claude.com/claude-code)

george-claude added 2 commits 2026-10-07 22:27:46 +02:00

🔒️ build-push refuse de publier une image qui porte une CVE HIGH ou CRITICAL corrigeable (raggaroth-factory/RF_CICD#7 ) e6a5fd6252

Entre la construction et la publication, Trivy examine l'image, exportée
en répertoire OCI : pas de démon, et rien n'est publié avant le verdict.

Seuil décidé par Benjamin le 2026-10-07 : HIGH et CRITICAL corrigeables
bloquent ; le reste est rapporté sans bloquer. Le seuil n'est pas une
entrée : un dépôt ne l'abaisse pas pour lui seul. Exceptions dans
.trivyignore.yaml, chacune avec « statement » et « expired_at » —
vérifiés par l'action, faute de quoi elle refuse le fichier.

Banc du 2026-10-07, Ubuntu 24.04 non privilégié, buildah 1.33.7, trivy
0.75.0 vérifié par empreinte, registre jetable :
  1. frontend actuel          → bloqué (libexpat, pcre2 HIGH corrigeables)
  2. + apk upgrade            → publié
  3. + exceptions futures     → publié
  4. + exceptions expirées    → bloqué
  5. exception sans date      → refusé à la validation

Constaté en route : « trivy --input » refuse une archive OCI ; il veut
l'archive Docker ou le répertoire OCI.

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_01VyxLNGHojdXeRMQgWFgzRV

Merge pull request '🔒️ build-push refuse de publier une image qui porte une CVE HIGH ou CRITICAL corrigeable (RF_CICD#7)' (#3 ) from ci/7-scan-cve-bloquant into develop 9d88bc3639

Reviewed-on: #3
Reviewed-by: bbaudouin <b.baudouin@pm.me>

bbaudouin approved these changes

2026-10-07 22:28:43 +02:00

bbaudouin merged commit 9d88bc3639 into main

2026-10-07 22:29:41 +02:00

bbaudouin deleted branch release/7-scan-cve-sur-main

2026-10-07 22:29:41 +02:00

Sign in to join this conversation.

2 Participants

Notifications

Due Date

No due date set.

Dependencies

No dependencies set.

Reference: public/RF_ACTIONS#4