FULLSTACKS Bitnami Impact Assessment

66b4d7 0d4212faac65403c927f20832e222605mv2 - FULLSTACKS

Inhaltsverzeichnis

Was ändert sich?

Bitnami stellt die Art und Weise um, wie Container-Images veröffentlicht und genutzt werden: Anstatt Dutzende immutable, versions-spezifische Docker-Tags in der öffentlichen Bitnami-Registry zu verwalten, werden alle diese Tags in einen schreibgeschützten „Legacy”-Namespace verschoben und dort eingefroren. Ab dem 28. August 2025 bleibt nur noch ein einziges aktuelles Tag für jede Anwendung darin erhalten, welches kontinuierlich aktualisiert wird, anstatt an eine feste Version gebunden zu sein. Diese Umstellung bedeutet, dass jede Kubernetes-Deployment oder jedes Helm-Chart, das explizit auf ein versioniertes Bitnami-Image-Tag verweist (Default in den meisten Helm-Charts), dieses Image nach der Verlagerung nicht mehr abrufen kann, es sei denn, Sie ergreifen Maßnahmen, um diese Assets vor dem Stichtag zu spiegeln oder umzubenennen.

Versionierte Tags eingefroren: Ab dem 28. August 2025 wird Bitnami alle versionsspezifischen Docker-Tags (z. B. 24.0.5-debian-12-r10) aus der öffentlichen Registry (http://docker.io/bitnami ) entfernen und sie in einen „Legacy”-Namespace (http://docker.io/bitnamilegacy ) verschieben. Diese Images werden eingefroren – es gibt keine weiteren Patches oder Sicherheitsupdates.
Nur „latest“ bleibt kostenlos: Ein einziges, kontinuierlich aktualisiertes „latest“-Tag bleibt öffentlich zugänglich. Um weiterhin versionierte, mit Sicherheitspatches versehene Images mit SBOM/VEX-Metadaten zu erhalten, müssen Sie entweder Bitnami Secure Images abonnieren oder Ihre eigenen Builds/Mirrors pflegen.

Mögliche Auswirkungen

Pod-Restarts schlagen fehl: Helm-Charts verwenden standardmäßig festgelegte Versions-Tags. Nach dem Stichtag kann Kubernetes diese Images nicht mehr abrufen, was zu CrashLoopBackOff und Ausfällen des Dienstes führt!
Verlust der Reproduzierbarkeit: Die Verwendung eines nicht fixierten aktuellen Images beeinträchtigt deterministische Bereitstellungen und erschwert Audits, Rollbacks und die Einhaltung von Vorschriften.
Sicherheitsrisiko: Ältere Images erhalten keine weiteren CVE-Fixes. Der Betrieb ungepatchter Container in der Produktion setzt Sie vermeidbaren Sicherheitsrisiken aus.

Referenzen:

https://github.com/bitnami/containers/issues/83267

https://news.broadcom.com/app-dev/broadcom-introduces-bitnami-secure-images-for-production-ready-containerized-applications

Sofortige Handlungsempfehlungen

Das muss bis zum 28. August erledigt werden!

1

Bestandsaufnahme der Cluster

Überprüfen Sie, ob Sie Bitnami-Images in Ihren Clustern verwenden. Diese könnten auch aus Helm-Charts stammen, die Bitnami-Charts als Abhängigkeiten verwenden. Überprüfen Sie daher jedes Image, das in Ihren Clustern ausgeführt wird!
2

Spiegeln und fixieren Sie kritische Images

Ziehen Sie vor dem 28. August Ihre wesentlichen versionierten Tags in eine private Registry und aktualisieren Sie dann Ihre Helm-Charts, um die festgesteckten Images aus Ihrer Registry zu verwenden.

Wie wir Ihnen helfen können

1

Bitnami Impact Check

Wir bieten eine kompakte Bewertung an, um herauszufinden, ob und wie sich diese Änderung am Docker-Tag auf Ihre Umgebung auswirkt. Das Ziel ist es, einen Überblick darüber zu erhalten, ob sofortige Maßnahmen erforderlich sind, wo dies zutrifft und wie gravierend die kritischen Auswirkungen sein könnten.
2
Supply Chain Future-Proofing Workshop

Wir werden Ihnen Best Practices vorstellen, mit denen Sie Ihre Container Supply Chain zukunftssicher machen und zertifizierte, versionierte und gesicherte Enterprise-grade Images von SUSE, RedHat und anderen Anbietern nutzen können – damit Sie auch bei unerwarteten Änderungen der Upstream-Richtlinien widerstandsfähig bleiben.

Architectural Blueprint & Best Practices
- Lassen Sie uns eine sichere, reproduzierbare CI/CD-Pipeline unter Verwendung von OCI-konformen Registries und CNCF-unterstützten Tools definieren.
- Wir gehen die empfohlenen Best Practices für die SBOM-Generierung, Image-Signierung (Cosign), Vulnerability-Scanning, Image-Signatur-Validierung und Policy-Enforcement durch.
- Stellen Sie die Versionsbindung sicher und aktivieren Sie Rollback-Verfahren, um deterministische Bereitstellungen und auditfähige Compliance zu gewährleisten.
- Wir überprüfen Ihre Aktivitäten in der Container-Image-Supply Chain und stellen Ihnen Best Practices für das Image-Management sowie Implementierungsrichtlinien zur Verfügung.