OSPS-LE-01.01 checks for a license file, but the requirement is contributor sign-off (DCO/CLA)
I maintainer di solito rispondono entro 1 giorno
Nessuno ha ancora preso questa issue.
Valutazione
- Difficoltà
- 4/5
- Tempo stimato
- 3-5 giorni
- Idoneità per principianti
- 45/100
Direzione di ricerca
Start by reading the LE-01.01 HasLicense control in packages/darnit-baseline/src/darnit_baseline/openssf-baseline.toml, then compare its behavior with the issue's description of LE-03.01. Determine how the project represents control checks and WARN/manual outcomes before assessing sign-off evidence. Done means LE-01.01 no longer passes because a LICENSE file exists, and its remediation no longer creates that file.
Scritto dal modello di indicizzazione a partire dal testo della issue.
Descrizione
Summary
darnit's OSPS-LE-01.01 checks the wrong requirement. Upstream, LE-01.01 is "Require Code Contributors to Assert Right to Commit": "The version control system MUST require all code contributors to assert that they are legally authorized to make the associated contributions on every commit" (for example DCO sign-off enforcement or a CLA check). darnit's control is named HasLicense, checks for a license file, and its remediation creates a LICENSE file -- which is what OSPS-LE-03.01 ("Maintain and Release Licenses in a Well Known Location") covers.
Impact
- Repositories with a LICENSE file PASS LE-01.01 whether or not contributors are required to sign off, so the control can report compliance for a requirement it never checked.
- The license-file check is duplicated between LE-01.01 and LE-03.01.
Evidence
- darnit control: https://github.com/darnitdevorg/darnit/blob/bbe1bb426e701a3b283d74425a566425011daa89/packages/darnit-baseline/src/darnit_baseline/openssf-baseline.toml#L1694
- Upstream requirement text: OSPS Baseline catalog (ossf/security-baseline), OSPS-LE-01.01.
Suggested direction
Re-implement LE-01.01 to check that contributions must assert the right to commit -- for example a required DCO status check, a DCO/CLA app or workflow, or branch rules requiring signed-off commits -- falling back to WARN/manual when it cannot be determined, and never PASS from the presence of a LICENSE file. Remove the license-file remediation from LE-01.01 (LE-03.01 keeps it). Related: #495 (other catalog drift).
- Lingua principale
- Python
- Stelle
- 22
- Fork
- 27
- Merge medio
- 1g 20h
- PR unite (30g)
- 39
Preparare l'ambiente
- Nessun Dockerfile né file Docker Compose
- Ha un modello di pull request
- Leggi la guida per i contributori
Come iniziare
- Leggi tutta la issue e poi la guida ai contributi del progetto.
- Commenta sulla issue per dire che te ne occupi tu — evita che due persone facciano lo stesso lavoro.
- Fai un fork del repository e lavora su un branch.
- Apri una pull request che faccia riferimento al numero della issue.
Altre issue di darnitdevorg/darnit
-
needs triage
Difficoltà 2/5 1-3 ore Idoneità per principianti 78/100
darnitdevorg/darnit#589 ·
I maintainer di solito rispondono entro 1 giorno
-
needs triage
Difficoltà 2/5 1-3 ore Idoneità per principianti 83/100
darnitdevorg/darnit#587 ·
I maintainer di solito rispondono entro 1 giorno
-
needs triage
Difficoltà 2/5 1-3 ore Idoneità per principianti 65/100
darnitdevorg/darnit#585 ·
I maintainer di solito rispondono entro 1 giorno
-
quality
Difficoltà 2/5 1-3 ore Idoneità per principianti 66/100
darnitdevorg/darnit#523 ·
I maintainer di solito rispondono entro 1 giorno
-
documentation good first issue
Difficoltà 2/5 1-3 ore Idoneità per principianti 76/100
darnitdevorg/darnit#516 ·
I maintainer di solito rispondono entro 1 giorno
Tutte le issue di darnitdevorg/darnit
Issue simili
-
[Bug]: Streamed /v1/chat/completions sends unredacted agent error text (keys) in the final chunkForse già presa @rodricksz4h5 l’ha presa oggi. Apertaarea/streaming comp/gateway P2 type/security
Difficoltà 2/5 1-3 ore Idoneità per principianti 78/100
NousResearch/hermes-agent#138245 ·
I maintainer di solito rispondono entro 1 giorno
-
[oblt-aw][autodoc] Update user onboarding guide for mandatory trigger CODEOWNERS stepForse già presa @github-actions l’ha presa oggi. Aperta
Difficoltà 2/5 1-3 ore Idoneità per principianti 66/100
I maintainer di solito rispondono entro 1 giorno
-
correction metadata
Difficoltà 2/5 Meno di un'ora Idoneità per principianti 68/100
acl-org/acl-anthology#10378 · 1 commento ·
I maintainer di solito rispondono entro 1 giorno
-
cloudtrail_multi_region_enabled_logging_management_events fails when the advanced event selector has a custom nameForse già presa @12YYCCYY16 l’ha presa oggi. Aperta
Difficoltà 2/5 1-3 ore Idoneità per principianti 78/100
prowler-cloud/prowler#13033 ·
I maintainer di solito rispondono entro 1 giorno
-
enhancement
Difficoltà 1/5 1-3 ore Idoneità per principianti 88/100
graygarbage/HermesKey#23 ·