chore(trivy): pin tmf-ci-trivy 0.74.0-db20261102-f52ad72 na main (hotfix) [INFRA-71899] #165

Merged

tarcisio merged 1 commit from fix/INFRA-71899-pin-trivy-db20261102 into main

2026-11-04 10:59:54 -03:00

tmf-ia commented

2026-11-03 23:34:32 -03:00

Owner

Hotfix

Pin da tmf-ci-trivy em 0.74.0-db20261102-f52ad72 (DB de 02/11) direto na main, só com os 4 pins e o CHANGELOG. O conteúdo é o mesmo do #163, que já está na develop.

Por quê: os produtos chamam o ci-shared na @main. O gate de CVE falha fechado com DB de mais de 10 dias, e a release #1061 do DANI (v3.21.0, run 4526) foi barrada com DB de 22/10, 13 dias. Isso trava a release de qualquer produto que passe pelo gate.
Por que hotfix e não release: decisão do operador por opção, 03/11. O release develop→main levaria junto o runs-on configurável da INFRA-71152, que ainda não foi provado no act_runner.
Arquivos: ci.yml, ci-base.yml, reusable-trivy-scan.yml e reusable-image-cve-os.yml. O reusable-sbom.yml não muda.

Prova

docker run --rm --entrypoint trivy .../tmf-ci-trivy:0.74.0-db20261102-f52ad72 version
Version: 0.74.0 | Vulnerability DB UpdatedAt: 2026-11-02 01:14:05 UTC
digest sha256:39826d49a3829c0aae104c2a0841b51464f72fcbed02592548f7d2d8a85de9ff
python3 -m unittest discover -s tests/cve-os -q      -> OK
python3 -m unittest discover -s tests/pin-actions -q -> OK

Para mergear, o operador comenta neste PR a linha AUTORIZO hotfix ci-shared. Depois do merge, faço o backmerge main→develop por PR.

INFRA-71899

🤖 Generated with Claude Code

https://claude.ai/code/session_01ES1xwVdpQV69zEsuLLKzx2

Pedido de hotfix (ADR 0014 D10). Para dispensar a aprovação humana, o operador comenta NESTE PR a linha AUTORIZO hotfix ci-shared (posterior ao último commit). A frase no corpo do PR não vale: o corpo é escrito pela sessão. CI verde continua obrigatório; a tag sai pelo bot no merge.

## Hotfix Pin da `tmf-ci-trivy` em `0.74.0-db20261102-f52ad72` (DB de 02/11) direto na `main`, só com os 4 pins e o CHANGELOG. O conteúdo é o mesmo do #163, que já está na develop. - **Por quê:** os produtos chamam o ci-shared na `@main`. O gate de CVE falha fechado com DB de mais de 10 dias, e a release #1061 do DANI (v3.21.0, run 4526) foi barrada com DB de 22/10, 13 dias. Isso trava a release de qualquer produto que passe pelo gate. - **Por que hotfix e não release:** decisão do operador por opção, 03/11. O release develop→main levaria junto o `runs-on` configurável da INFRA-71152, que ainda não foi provado no act_runner. - **Arquivos:** `ci.yml`, `ci-base.yml`, `reusable-trivy-scan.yml` e `reusable-image-cve-os.yml`. O `reusable-sbom.yml` não muda. ## Prova ``` docker run --rm --entrypoint trivy .../tmf-ci-trivy:0.74.0-db20261102-f52ad72 version Version: 0.74.0 | Vulnerability DB UpdatedAt: 2026-11-02 01:14:05 UTC digest sha256:39826d49a3829c0aae104c2a0841b51464f72fcbed02592548f7d2d8a85de9ff python3 -m unittest discover -s tests/cve-os -q -> OK python3 -m unittest discover -s tests/pin-actions -q -> OK ``` Para mergear, o operador comenta neste PR a linha `AUTORIZO hotfix ci-shared`. Depois do merge, faço o backmerge main→develop por PR. INFRA-71899 🤖 Generated with [Claude Code](https://claude.com/claude-code) https://claude.ai/code/session_01ES1xwVdpQV69zEsuLLKzx2 --- **Pedido de hotfix (ADR 0014 D10).** Para dispensar a aprovação humana, o operador comenta NESTE PR a linha `AUTORIZO hotfix ci-shared` (posterior ao último commit). A frase no corpo do PR não vale: o corpo é escrito pela sessão. CI verde continua obrigatório; a tag sai pelo bot no merge.

tmf-ia added 1 commit

2026-11-03 23:34:32 -03:00

fix(trivy): hotfix do pin tmf-ci-trivy 0.74.0-db20261102-f52ad72 na main [INFRA-71899]

PR checks (ci-shared) / testes (pull_request) Successful in 5m10s

Details

eda6d11adf

Mesmo conteúdo do #163 (develop), só os 4 pins e o CHANGELOG, para destravar
o gate de CVE dos produtos que chamam o ci-shared na @main (release #1061 do
DANI barrada por DB de 22/10). Decisão do operador por opção em 03/11.

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_01ES1xwVdpQV69zEsuLLKzx2

tmf-ia requested review from tarcisio

2026-11-03 23:34:32 -03:00

tmf-ia changed title from ~~fix(trivy): hotfix do pin tmf-ci-trivy db20261102 na main [INFRA-71899]~~ to chore(trivy): pin tmf-ci-trivy 0.74.0-db20261102-f52ad72 na main (hotfix) [INFRA-71899]

2026-11-03 23:34:44 -03:00