Conda-forge vulnerability advisories
Los mantenedores suelen responder en 1 día
Nadie ha tomado este issue todavía.
Evaluación
- Dificultad
- 5/5
- Tiempo estimado
- Más de una semana
- Aptitud para principiantes
- 25/100
Línea de trabajo
Empieza leyendo recipe/meta.yaml y los metadatos de paquete renderizados en la carpeta info de cada archivo; después, inspecciona contrib/url2purl.py de packageurl-python y la vulnerablecode API o el volcado de datos. El issue describe una canalización amplia que abarca 27.000 recetas, pero no nombra archivos de implementación, pruebas, un punto de entrada delimitado ni criterios de aceptación, por lo que la finalización no está definida para una primera contribución.
Escrito por el modelo de indexación a partir del texto del issue.
Descripción
To infer vulnerability advisories for existing conda-forge packages, we need some smarts, as there are no such data source available that is open and public data.
Here is what we would need to do at a high level
- resolve (jinja?) and parse the meta YAML for the 27K recipes. (Alternatively, we can also use the "rendered recipe" as stored in a package archive. They are in the info folder of the packages and don't contain any Jinja tags anymore.
- infer a PURL using the packageurl-python library
- say for https://github.com/conda-forge/django-feedstock/blob/5d10012b77cf6c36b6360af593dfff81a2e341c2/recipe/meta.yaml#L9 ...
- infer using https://github.com/package-url/packageurl-python/blob/c7c7b46346eebcd86ec61d4ee7c6a84c3fe5fcc4/src/packageurl/contrib/url2purl.py#L317
- ideally store that upstream PURL in the conda-forge ... also while at it craft a conda-package PURL too, save it too
- using that PURL, lookup in vulnerablecode, get any vulnerability advisories, and get a fixed version if any https://public2.vulnerablecode.io/packages/v2/pkg:pypi/[email protected] (or an API call, or direct data dump and so on)
- eventually also store that data in conda-forge for that version as VEX/CSAF/OSV/CVE
- eventually also attach the conda-forge package to the CVE if there is such CVE @ mitre (best... conda-forge becomes a CNA @ mitre , also of GNA with GCVE)
- (rinse and repeat 27,000 times, mostly everyday or many times a day). That would a combo of VCIO importer and improver
- eventually push and publish at all the feedstocks?
- Lenguaje dominante
- Python
- Estrellas
- 716
- Forks
- 347
- Merge medio
- 13 h 47 min
- PR fusionados (30 d)
- 8
Preparar el entorno
- Incluye un Dockerfile o un archivo de Docker Compose
- Sin plantilla de pull request
- Sin guía de contribución
Primeros pasos
- Lee el issue completo y luego la guía de contribución del proyecto.
- Comenta en el issue que vas a ocuparte — evita que dos personas hagan lo mismo.
- Haz un fork del repositorio y trabaja en una rama.
- Abre un pull request que haga referencia al número del issue.
Más de aboutcode-org/vulnerablecode
-
OSV parser drops all crates.io affected entries because the ecosystem mapping uses cargoPosiblemente ocupada @Ashutosh-Panda2004 la tomó hace 3 días. Abierto
Dificultad 2/5 1-3 horas Aptitud para principiantes 76/100
aboutcode-org/vulnerablecode#2485 · 1 comentario ·
Los mantenedores suelen responder en 1 día
-
Docker Compose setup fails on wait-for-it host web:8000 and missing runtime .envPosiblemente ocupada @Anurag-S1ngh la tomó hace 6 días. Abierto
Dificultad 2/5 Medio día Aptitud para principiantes 77/100
aboutcode-org/vulnerablecode#2477 · 1 comentario ·
Los mantenedores suelen responder en 1 día
-
OVAL parser corrupts version bounds when the epoch is 10, 20 or the version contains "0:"Posiblemente ocupada @Ashutosh-Panda2004 la tomó hace 4 días. Abierto
Dificultad 2/5 1-3 horas Aptitud para principiantes 76/100
aboutcode-org/vulnerablecode#2474 · 1 comentario ·
Los mantenedores suelen responder en 1 día
-
Dificultad 2/5 1-3 horas Aptitud para principiantes 86/100
aboutcode-org/vulnerablecode#2426 ·
Los mantenedores suelen responder en 1 día
-
Get NuGet package versions from federated PURL version data in https://github.com/aboutcode-data/Quizá libre de nuevo @Anshi321 la tomó hace 26 días y no hay ningún pull request abierto. Abiertobug data-quality
Dificultad 2/5 1-3 horas Aptitud para principiantes 72/100
aboutcode-org/vulnerablecode#2418 · 4 comentarios ·
Los mantenedores suelen responder en 1 día
Todos los issues de aboutcode-org/vulnerablecode
Issues similares
-
bug
Dificultad 2/5 1-3 horas Aptitud para principiantes 86/100
NousResearch/hermes-agent#147104 ·
Los mantenedores suelen responder en 1 día
-
[oblt-aw][autodoc] Document new required `shared-org-key` input for `obs-aw-dependency-review`Posiblemente ocupada @github-actions la tomó hoy. Abierto
Dificultad 1/5 Menos de una hora Aptitud para principiantes 90/100
Los mantenedores suelen responder en 1 día
-
bot-triaged module: inductor oncall: pt2 topic: fuzzer triaged
Dificultad 2/5 1-3 horas Aptitud para principiantes 82/100
Los mantenedores suelen responder en 1 día
-
getchaintips leaves out the active tip once a header is staged on it, where Core always lists itAbierto
Dificultad 2/5 1-3 horas Aptitud para principiantes 88/100
btclib-org/btclib-node#2158 ·
Los mantenedores suelen responder en 1 día
-
Dificultad 2/5 1-3 horas Aptitud para principiantes 75/100
patrick-hudson/put.gd-desktop#979 · 1 comentario ·
Los mantenedores suelen responder en 1 día