TMF/ci-shared
Watch
3
0
Fork
You've already forked ci-shared
 0
Code Pull requests Projects Releases Packages Wiki Activity Actions

fix(build): todo docker build com --pull, inclusive o gate de CVE de SO [INFRA-69062] #96

Merged
tmf-ia merged 1 commit from fix/INFRA-69062-build-com-pull into develop 2026-10-09 20:35:12 -03:00
Conversation 0 Commits 1 Files changed 3 +30 -4
tmf-ia commented 2026-10-09 19:51:58 -03:00
Owner
Copy link

Sem --pull, o build usa a base que está no cache do runner. Em 09/10, a imagem da v3.10.0 do DANI saiu com o uv antigo (GHSA do quinn-proto), embora a base publicada já estivesse corrigida. No reusable-image-cve-os o efeito é pior: o gate de CVE escanearia uma base velha e daria verde.

  • build-ci-images.yml: os 3 builds que estavam sem --pull.
  • reusable-image-cve-os.yml: docker buildx build --pull.
  • Teste de contrato tests/soberania/test_build_sempre_com_pull.py: todo docker build dos workflows tem --pull. Ele falha antes da correção.

A suíte deu 903 passed. Os builds de imagem dos produtos ficam nos scripts de cada produto e são tratados pelas sessões donas. A troca para tag imutável pelo propor-pin-base depende do TMF_IA_PIN_TOKEN.

🤖 Generated with Claude Code

https://claude.ai/code/session_017QrAM1chSgVpSwDrKJVLVn

Sem `--pull`, o build usa a base que está no cache do runner. Em 09/10, a imagem da v3.10.0 do DANI saiu com o uv antigo (GHSA do quinn-proto), embora a base publicada já estivesse corrigida. No `reusable-image-cve-os` o efeito é pior: o gate de CVE escanearia uma base velha e daria verde. - `build-ci-images.yml`: os 3 builds que estavam sem `--pull`. - `reusable-image-cve-os.yml`: `docker buildx build --pull`. - Teste de contrato `tests/soberania/test_build_sempre_com_pull.py`: todo `docker build` dos workflows tem `--pull`. Ele falha antes da correção. A suíte deu 903 passed. Os builds de imagem dos produtos ficam nos scripts de cada produto e são tratados pelas sessões donas. A troca para tag imutável pelo propor-pin-base depende do TMF_IA_PIN_TOKEN. 🤖 Generated with [Claude Code](https://claude.com/claude-code) https://claude.ai/code/session_017QrAM1chSgVpSwDrKJVLVn
fix(build): todo docker build com --pull, inclusive o gate de CVE de SO [INFRA-69062]
All checks were successful
PR checks (ci-shared) / testes (pull_request) Successful in 4m28s
Details
4f56eb81c4 
Sem --pull o build usa a base do cache do runner: a imagem da v3.10.0 do DANI saiu com o uv
antigo (quinn-proto 0.11.14) porque a tmf-python-base:3.12-uv flutuante estava velha no cache.
No reusable-image-cve-os o efeito é pior: o gate escanearia uma base velha e daria verde.
- build-ci-images.yml: 3 builds sem --pull
- reusable-image-cve-os.yml: buildx build --pull
- tests/soberania/test_build_sempre_com_pull.py: todo docker build dos workflows tem --pull

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_017QrAM1chSgVpSwDrKJVLVn
tmf-ia merged commit ba9fad1719 into develop 2026-10-09 20:35:12 -03:00
Sign in to join this conversation.
Reviewers
No reviewers
tarcisio
Labels
Clear labels
  
seguranca
Segurança/LGPD — merge só com aprovação do operador

No labels
seguranca
Milestone
Clear milestone
No items
No milestone
Projects
Clear projects
No items
No project
Assignees
Clear assignees
No assignees
1 participant
Notifications
Due date
The due date is invalid or out of range. Please use the format "yyyy-mm-dd".

No due date set.

Dependencies

No dependencies set

Reference
TMF/ci-shared!96
No description provided.