Diagnostic de l'erreur

bash ./trivy/contrib/install.sh -b ... v0.65.0
...
found version: 0.65.0
Error: Process completed with exit code 1

Cause identifiée

Il s'agit d'une limitation du mécanisme d'installation de Trivy utilisé par l'action. L'action clone le dépôt, exécute contrib/install.sh et télécharge le binaire.

Certaines versions de Trivy, comme v0.65.0, provoquent l'échec de ce script d'installation. Le téléchargement se termine correctement, la version est bien détectée, mais le script install.sh échoue ensuite.

Cache Trivy (main)

- name: Cache Trivy DB
  uses: actions/cache@v5.0
  with:
    path: ~/.cache/trivy
    key: trivy-db-${{ runner.os }}-${{ github.run_number }}
    restore-keys: |
      trivy-db-${{ runner.os }}-

Avantages

• pipeline plus stable et plus prévisible
• réduction des effets de bord liés aux actions tierces
• meilleure reproductibilité dans une logique DevSecOps

Cette approche permet de mieux contrôler le cache, la version installée et les options utilisées. Trivy n'a plus qu'à vérifier les nouvelles failles publiées depuis le dernier scan

2. Vérification de la version (logs)

UPDATE au 05/05/26; la version 0.69 installée après l'incident, à été retirée du dépot, à ce jour la version 0.70 est disponible:

Preparing to unpack .../trivy_0.70.0_amd64.deb ...
Unpacking trivy (0.70.0) ...
Setting up trivy (0.70.0) ...

3. Fixer la version

TRIVY_VERSION="0.70.0"

if apt-cache madison trivy | grep -q "$TRIVY_VERSION"; then
  sudo apt-get install -y trivy=$TRIVY_VERSION
else
  echo "[WARNING] Version not found → fallback to latest"
  sudo apt-get install -y trivy
fi

trivy --version

Exécution des scans (FS)

- name: Run Trivy scan
  run: |
    trivy fs . \
      --severity HIGH,CRITICAL \
      --format table \
      --exit-code 0    

- name: Run Trivy scan
  run: |
    trivy fs . \
      --format table \
      --exit-code 1 \
      --severity HIGH,CRITICAL \
      --no-progress

--exit-code 0 affiche toujours l'intégralité du tableau des vulnérabilités dans les logs mais ne bloque pas le build.
Cela nécessite une consultation manuelle: en cliquant sur l'étape du scan depuis l'interface de la CI et lire les logs.

--exit-code 1 bloque le build à la moindre vulnérabilités correspondant aux critères (HIGH/CRITICAL)
--no-progress désactive la barre de progression interactive dans la console. C'est une option essentielle en CI/CD

UPDATE 05/05/2026

→ Le process est conservé et à été adapté pour la nouvelle image (cas ou l'histoire se repéterait)

UPDATE 19/05/2026

Méthode rapide

docker pull gcr.io/distroless/java17-debian12:nonroot
docker pull gcr.io/distroless/java17-debian12:debug-nonroot

Autres solutions

docker manifest inspect "$IMAGE" | jq -r '.config.digest'

crane digest $IMAGE

Docker Commandes CLI

IMAGE="gcr.io/distroless/java17-debian12:latest"
docker pull $IMAGE

docker image inspect "$IMAGE" /
    --format '{{index .RepoDigests 0}}'

Fonctionne uniquement si l'image est déjà locale OU que l'on fait un pull avant

trivy image $IMAGE

$ docker pull gcr.io/distroless/java17-debian12:latest
latest: Pulling from distroless/java17-debian12
Digest: sha256:0210d5b77dfbe851916184405ddfc8297e7bc652029f7a485274cb71ea2462bc
Status: Image is up to date for gcr.io/distroless/java17-debian12:latest
gcr.io/distroless/java17-debian12:latest

$ docker image inspect gcr.io/distroless/java17-debian12:latest --format '{{.Id}} {{.RepoDigests}}'
sha256:0210d5b77dfbe851916184405ddfc8297e7bc652029f7a485274cb71ea2462bc [gcr.io/distroless/java17-debian12@sha256:0210d5b77dfbe851916184405ddfc8297e7bc652029f7a485274cb71ea2462bc]

Pour la comparaison de l'étape 3: Comme je n'ai ni "Trivy" ni "crane" en local;
un script bash a été mis en place pour comparer automatiquement le SHA utilisé dans le pipeline avec celui de l'image latest

J'utiliserai donc: "Docker" en local et "crane" dans le script et en CI (installation)

FIX - Étape 1: Mise en place du script de détection

Retrouver le script dans le repository

Le fichier "check-docker-image-latest.sh"

#!/usr/bin/env bash
set -euo pipefail

IMAGE="gcr.io/distroless/java17-debian12:latest"
STATE_FILE="ci-scripts/.distroless-java17-debian12.digest"

echo "[INFO] Checking crane availability..."

if ! command -v crane >/dev/null 2>&1; then
  echo "[WARNING] crane not found → skipping digest check"
  echo "digest_changed=false" >> "$GITHUB_OUTPUT"
  exit 0
fi

echo "[INFO] Fetching current digest..."
CURRENT_DIGEST=$(crane digest "$IMAGE")

if [[ -f "$STATE_FILE" ]]; then
  PREVIOUS_DIGEST=$(cat "$STATE_FILE")
else
  PREVIOUS_DIGEST=""
fi

echo "[INFO] Current:  $CURRENT_DIGEST"
echo "[INFO] Previous: $PREVIOUS_DIGEST"

if [[ "$CURRENT_DIGEST" == "$PREVIOUS_DIGEST" ]]; then
  echo "[INFO] No update detected"
  echo "digest_changed=false" >> "$GITHUB_OUTPUT"
else
  echo "[INFO] Update detected"
  echo "digest_changed=true" >> "$GITHUB_OUTPUT"
  echo "digest_value=$CURRENT_DIGEST" >> "$GITHUB_OUTPUT"
fi

Description

Script conçu pour optimiser les pipelines en détectant si une image de base (ici une image distroless de Google) a réellement changé

Récupération du Digest: On utilise crane pour extraire l'identifiant unique et immuable de l'image, plutôt que de se fier au tag :latest qui peut pointer vers différentes versions

Comparaison d'État: Il compare ce nouveau digest avec celui stocké et versionné (.distroless-java17-debian12.digest)

sha256:0210d5b77dfbe851916184405ddfc8297e7bc652029f7a485274cb71ea2462bc

Confirme que l'image correspond à la dernière version publiée pour ce tag, mais pas nécessairement que les correctifs de sécurité les plus récents y sont intégrés

UPDATE * au 05/05/2026, J'ai migré vers la version "debian13:nonroot" ce qui à résolu les vulnérabilité en cours. Les scripts et pipelines ont été adaptés également et tourne toujours, mais pour la nouvelle image

RV dans le repository pour voir les màj

Le fichier ".trivyignore.yaml"

Agit pleinement pour main où le controle est + strict (exit 1)
En staging on voit toutes les vulnérabilité (exit 0) sans bloquer le build (util pour vérifier, être à jour)

vulnerabilities:
  - id: CVE-2026-33416
    expired_at: 2026-07-15
    statement: Temporary ignore until distroless is rebuilt with deb12u4
  - id: CVE-2026-33636
    expired_at: 2026-07-15
    statement: Temporary ignore until distroless is rebuilt with deb12u4

Gestion des vulnérabilités

La base actuelle est conservée, avec l'ajout de ce fichier. Il contient les exceptions signalées au Scan.
Une date d'expiration est ajoutée afin d'éviter qu'elles soient ignorées de façon permanente.

Cette pratique doit rester exceptionnelle et temporaire. Le correctif doit être apporté via une mise à jour de l'image de base ou un changement d'image mère

Le fichier ".github/workflows/pr-watch-distroless.yml"

name: Distroless Watch

on:
  workflow_dispatch:
  schedule:
    - cron: '0 6 * * *'

permissions:
  contents: write
  pull-requests: write

jobs:
  watch:
    runs-on: ubuntu-24.04

    steps:
      - name: Checkout

      - name: Setup git
        run: |
          git config user.name "github-actions"
          git config user.email "github-actions@github.com"

      - name: Install crane
        run: |
          ci-scripts/install-crane.sh

      - name: Run digest check
        id: check
        run: |
          chmod +x ci-scripts/check-docker-image-latest.sh
          ci-scripts/check-docker-image-latest.sh

      - name: Create branch with updated digest
        if: steps.check.outputs.digest_changed == 'true'
        id: branch
        env:
          GH_TOKEN: ${{ secrets.GH_PAT }}
        run: |
          EXISTING=$(gh pr list \
              --base main \
              --search "distroless" \
              --json number \
              --jq length)

          if [ "$EXISTING" -gt 0 ]; then
            echo "Existing PR detected, skipping"
            echo "skip_pr=true" >> $GITHUB_OUTPUT
            exit 0
          fi
        
          BRANCH="chore/distroless-update-$(date +%s)"

          git checkout -b $BRANCH
          echo "${{ steps.check.outputs.digest_value }}" > 
                ci-scripts/.distroless-java17-debian12.digest
          git add ci-scripts/.distroless-java17-debian12.digest
          git commit -m "chore: update distroless digest"
          git push origin $BRANCH
          echo "branch=$BRANCH" >> $GITHUB_OUTPUT
      
      - name: Create PR
        if: steps.check.outputs.digest_changed == 'true' 
            && steps.branch.outputs.skip_pr != 'true'
        env:
          GH_TOKEN: ${{ secrets.GH_PAT }}
        run: |
          BRANCH="${{ steps.branch.outputs.branch }}"

          gh pr create \
            --base main \
            --head "$BRANCH" \
            --title "chore: distroless image updated" \
            --body "Automatic update of distroless base image.\
            n\n Digest updated -> possible security fixes available.\
            n\n Actions recommended:\n- Run pipeline\
            n - Verify Trivy results\n- Check if CVEs 
            can be removed from .trivyignore"

FIX - Étape 4: Modifications des workflows

On commence par tester l'environement [staging] pour voir les logs, être averti de la moindre vulnérabilité, avant de faire tourner le pipeline en production

Retrouver tous les workflows dans le repository

Stratégie adoptée

- name: Check distroless digest
    id: digest
    run: |
      chmod +x ci-scripts/check-docker-image-latest.sh
      ci-scripts/check-docker-image-latest.sh

  - name: Debug FULL outputs
    run: |
      echo "digest_changed = '${{ steps.digest.outputs.digest_changed }}'"
      echo "digest_value   = '${{ steps.digest.outputs.digest_value }}'"

  - name: Build Docker image
  - name: Install Trivy (official repo)
    //...   sudo apt-get install -y trivy

  - name: Scan Docker image (Trivy - conditional)
    run: |
      if [ "${{ steps.digest.outputs.digest_changed }}" = "true" ]; then
        echo "[INFO] New distroless → strict scan"
        trivy image flashcards:staging \
          --severity HIGH,CRITICAL \
          --ignorefile /dev/null \
          --exit-code 0 \
          --format table
      else
        echo "[INFO] Stable distroless → known CVEs list"
        trivy image flashcards:staging \
          --severity HIGH,CRITICAL \
          --ignorefile .trivyignore.yaml \
          --exit-code 0 \
          --format table
      fi

Les étapes du workflow et leurs actions

steps: 
  - name: Cache Trivy DB
  - name: Install Trivy (official repo)
  - name: Run Trivy scan

  //..après "Build Docker image" 
  - name: Install crane
  - name: Check distroless digest
  - name: Debug FULL outputs

  - name: Trivy Scan Docker Image (new distroless)
    if: steps.digest.outputs.digest_changed == 'true'
    run: |
      trivy image $IMAGE_NAME:$IMAGE_TAG \
        --severity HIGH,CRITICAL \
        --exit-code 1 \
        --ignore-unfixed \
        --ignorefile /dev/null \
        --timeout 10m \
        --cache-dir ~/.cache/trivy \
        --format table \
        --no-progress

  - name: Trivy Scan Docker Image (stable distroless)
    if: steps.digest.outputs.digest_changed == 'false'
    run: |
      trivy image $IMAGE_NAME:$IMAGE_TAG \
        --severity HIGH,CRITICAL \
        --exit-code 1 \
        --ignore-unfixed \
        --ignorefile .trivyignore.yaml \
        --timeout 10m \
        --cache-dir ~/.cache/trivy \
        --format table \
        --no-progress

  - name: Update digest file
    if: success() && steps.digest.outputs.digest_changed == 'true'
    run: echo "${{ steps.digest.outputs.digest_value }}" > 
         ci-scripts/.distroless-java17-debian12.digest

Les étapes du workflow et leurs actions

  Cas A: Nouveau Digest - Action: Scan strict

  Cas B: Digest Stable - Action: Scan standard

Mets à jour le digest après la vérification et le status "success" de l'étape précédente " Trivy Scan Docker Image (new distroless)"