release: ci-shared develop → main — reusable-image-cve-os (CVE de SO sem origem externa) #78

Merged

tarcisio merged 2 commits from release/2026-10-09-cve-os into main

2026-10-09 10:36:27 -03:00

tmf-ia commented

2026-10-09 10:25:51 -03:00

Owner

Release do ci-shared: develop → main (09/10/2026, 3ª)

PR	Issue	O quê	Efeito nos produtos
#77	TMF9-69013 (+ TMF9-69027, TH-68952)	`reusable-image-cve-os.yml` e `scripts/ci/cve_os_gate.py`, que agora é a versão canônica, trazida do TMF9 sem mudar a regra	Nenhum até adotar. É um reusable novo, e quem não o chama não muda

O que o reusable faz: roda no label build-images com a tmf-ci-docker imutável, usa o Trivy pelo socket, offline, com o mesmo pin do reusable-trivy-scan (há teste de contrato que exige isso), e passa os arquivos por stdin, porque o -v $PWD não existe no host. A Beiçola fez a prova de ponta a ponta com os passos reais do YAML: um build com --mount=type=secret, o scan offline e o veredito do gate. São 21 testes em tests/cve-os.

O propor-pin-trivy já conhece o arquivo novo (tmf_imagens #27, em develop). Por isso o pin dos dois reusables é renovado junto.

Depois do merge: a adoção é com os produtos. O snippet está comentado nas TMF9-69013, TMF9-69027 e TH-68952. Rollback: reverter o merge.

🤖 Generated with Claude Code

https://claude.ai/code/session_017QrAM1chSgVpSwDrKJVLVn

## Release do ci-shared: develop → main (09/10/2026, 3ª) | PR | Issue | O quê | Efeito nos produtos | |---|---|---|---| | #77 | TMF9-69013 (+ TMF9-69027, TH-68952) | `reusable-image-cve-os.yml` e `scripts/ci/cve_os_gate.py`, que agora é a versão canônica, trazida do TMF9 sem mudar a regra | **Nenhum até adotar.** É um reusable novo, e quem não o chama não muda | O que o reusable faz: roda no label `build-images` com a `tmf-ci-docker` imutável, usa o Trivy pelo socket, offline, com o **mesmo pin** do `reusable-trivy-scan` (há teste de contrato que exige isso), e passa os arquivos por stdin, porque o `-v $PWD` não existe no host. A Beiçola fez a prova de ponta a ponta com os passos reais do YAML: um build com `--mount=type=secret`, o scan offline e o veredito do gate. São 21 testes em `tests/cve-os`. O `propor-pin-trivy` já conhece o arquivo novo (tmf_imagens #27, em develop). Por isso o pin dos dois reusables é renovado junto. **Depois do merge:** a adoção é com os produtos. O snippet está comentado nas TMF9-69013, TMF9-69027 e TH-68952. **Rollback:** reverter o merge. 🤖 Generated with [Claude Code](https://claude.com/claude-code) https://claude.ai/code/session_017QrAM1chSgVpSwDrKJVLVn

tmf-ia added 2 commits

2026-10-09 10:25:51 -03:00

feat(ci): reusable-image-cve-os — CVE de SO da imagem sem origem externa [TMF9-69013]

PR checks (ci-shared) / testes (pull_request) Successful in 4m48s

Details

8c822cbd63

Build BuildKit no label build-images, Trivy pinado (mesmo pin do
reusable-trivy-scan) pelo socket e offline, gate da política global
(cve_os_gate.py, agora canônico aqui). Fecha o lado ci-shared de
TMF9-69013, TMF9-69027 e TH-68952.

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_014axu8pSLigGKWaQj1sASKC