Need CVE auto-linking disambiguation to CVEs that belong to more than 1 project
Nadie ha tomado este issue todavía.
Evaluación
- Dificultad
- 5/5
- Tiempo estimado
- Más de una semana
- Aptitud para principiantes
- 35/100
- Tipo de issue
- Nueva funcionalidad
- Claridad
- Bastante claro
- Estado de actividad
- Estancado
- Stack tecnológico
- github
- Área
- security
Línea de trabajo
Revisa primero los ejemplos de CVE-2023-44487 y el PR #2860 enlazado de advisory-database; después, sigue el comportamiento existente de autoenlazado de CVE; aquí no se especifica ningún punto de entrada para la implementación. Se considera terminado cuando los CVE asignados fuera de GitHub enlacen a MITRE o a otra base de datos de CVE en lugar de a un aviso no relacionado de GitHub, mientras que los avisos asignados por GitHub conserven sus enlaces actuales.
Escrito por el modelo de indexación a partir del texto del issue.
Descripción
Description:
A CVE reference auto-linking should not link to a Github advisory if Github didn't assign the CVE ID (meaning the CVE came from somewhere else).
These kinds of CVE auto-linking should instead link to the MITRE (or other online CVE database) for that entry instead.
This will make it obvious that the CVE is bigger than the one project on github that is using the existing CVE id to update the impacted packages entries.
History:
The recent big CVE, CVE-2023-44487 (HTTP/2 Rapid Reset) was originally filed as a spec level CVE (against the HTTP/2 spec itself).
Over time, many projects have referenced CVE-2023-44487 in discussions, pull requests, issues, etc.
The use of CVE-2023-4487 auto-links to the https://github.com/advisories/GHSA-qppj-fm5r-hxr3 advisory, which is for a limited set of impacted packages on the swift-nio-http2 project. (see long listing of impacted packages at https://nvd.nist.gov/vuln/detail/CVE-2023-44487)
See concern brought up at https://github.com/github/advisory-database/pull/2860
This results in confusing links to an unrelated project and advisory.
Examples in Discussions:
Examples in Release Notes:
Examples in Issues:
Examples in PRs:
- Lenguaje dominante
- Sin datos de lenguaje
- Estrellas
- 2.5k
- Forks
- 772
- Merge medio
- 3 d 15 h
- PR fusionados (30 d)
- 46
Guía de contribución
Primeros pasos
- Lee el issue completo y luego la guía de contribución del proyecto.
- Comenta en el issue que vas a ocuparte — evita que dos personas hagan lo mismo.
- Haz un fork del repositorio y trabaja en una rama.
- Abre un pull request que haga referencia al número del issue.
Más de github/advisory-database
-
Dificultad 2/5 1-3 horas Aptitud para principiantes 68/100
github/advisory-database#9255 ·
-
Dificultad 2/5 1-3 horas Aptitud para principiantes 72/100
github/advisory-database#9164 · 1 reacción ·
-
Dificultad 2/5 1-3 horas Aptitud para principiantes 72/100
github/advisory-database#8994 ·
-
Dificultad 2/5 1-3 horas Aptitud para principiantes 68/100
github/advisory-database#8898 · 4 comentarios · 1 reacción ·
-
Dificultad 2/5 1-3 horas Aptitud para principiantes 72/100
github/advisory-database#8841 ·
Todos los issues de github/advisory-database
Issues similares
-
Add a SECURITY.md Abierto
Dificultad 1/5 Menos de una hora Aptitud para principiantes 90/100
ElementsProject/cln-application#167 · 1 comentario · 1 reacción ·
-
Dificultad 2/5 1-3 horas Aptitud para principiantes 70/100
-
Dificultad 2/5 1-3 horas Aptitud para principiantes 70/100
confident-ai/deepteam#289 ·
-
Dificultad 2/5 1-3 horas Aptitud para principiantes 65/100
-
Security advisory for wasmtime Abierto
Dificultad 2/5 1-3 horas Aptitud para principiantes 70/100
VirusTotal/yara-x#780 ·