[SebastianLopezO]

Caso

• Origen: Snyk Container (code scanning), categoría Snyk/Container/github.com/tianon/gosu/1: 117 alertas
  abiertas (63 altas, 50 medias, 4 críticas) en /usr/local/bin/gosu. Siguen abiertas después de Patch Alpine packages and drop the outdated Go binaries from the TimescaleDB image [skip deploy] #no-deploy #8: el análisis
  de hoy sobre 1f6067f las vuelve a reportar.
• Severidad: crítica según Snyk (net/http/internal request smuggling, net/netip, html/template).
• Problema: Patch Alpine packages and drop the outdated Go binaries from the TimescaleDB image [skip deploy] #no-deploy #8 reemplazó gosu por un enlace simbólico a su-exec. En tiempo de ejecución el enlace tapa el
  binario, pero las capas de una imagen solo se suman: el gosu original (Go con stdlib 1.18.2) sigue dentro de la
  capa de timescale/timescaledb:2.17.2-pg17 y viaja con la imagen. Snyk respeta los borrados (por eso desaparecieron
  timescaledb-tune y timescaledb-parallel-copy), pero no la sobrescritura.

Análisis

• Riesgo real bajo: el binario viejo no se ejecuta (el entrypoint llega a su-exec) y gosu no usa net/http ni
  html/template. Lo que sí pasaba: la imagen distribuía un ejecutable vulnerable que cualquiera puede extraer, y
  117 alertas falsas para el contexto tapaban las reales y dejaban sin sentido el umbral del escáner.
• Se probó copiar su-exec como archivo regular sobre /usr/local/bin/gosu: el reescaneo siguió en 120 hallazgos.
  Por eso el cambio va a la raíz y no solo a la ruta.

Cambio

• Etapa base: lo mismo que antes (apk upgrade, fuera los dos binarios de Timescale, su-exec como gosu, esquema
  y scripts), con install en vez de ln.
• Etapa final FROM scratch + COPY --from=base / /: una sola capa con el sistema de archivos ya ajustado. Se
  declaran de nuevo ENV, VOLUME, STOPSIGNAL, EXPOSE, ENTRYPOINT y CMD de la imagen base, que scratch no
  trae (se copiaron de docker image inspect).

Verificación

• snyk container test smartpot-db-postgre --file=Dockerfile: de 120 hallazgos (4 críticos, gosu) a «no vulnerable
  paths found» en 121 dependencias.
• Imagen: de 23 capas y 762 MB a 1 capa y 629 MB. Permisos de /var/lib/postgresql y /var/run/postgresql
  idénticos a la imagen anterior.
• tests/validate.sh con raíz de solo lectura y cap-drop ALL: 16/16 sin datos demo y 19/19 con datos demo.
• TimescaleDB sigue en 2.17.2: no hace falta migrar datos.