OS level package analysis
I maintainer di solito rispondono entro 6 giorni
Nessuno ha ancora preso questa issue.
Valutazione
- Difficoltà
- 5/5
- Tempo stimato
- Più di una settimana
- Idoneità per principianti
- 25/100
Direzione di ricerca
Inizia esaminando i tipi di pacchetti attualmente supportati dal progetto package-analysis e il relativo workflow di scansione, quindi fai un inventario di come i gestori di pacchetti del sistema operativo e gli strumenti di build o test potrebbero adattarsi ai casi d’uso richiesti. Per considerare concluso il lavoro, sarebbe necessario definire un ambito mirato e concordato per l’analisi dei pacchetti del sistema operativo, invece delle diverse integrazioni proposte qui.
Scritto dal modello di indicizzazione a partire dal testo della issue.
Descrizione
This is a neat idea, but I'm wondering about a few possible areas of improvement:
- What about packages generated by popular open source projects?
- Integrations with existing OS package managers to check for flagged versions of python, ruby, etc scripts?
- Integrations with OS package cluster/build tools to do scans (for example during test runs/qat)
OS vendors have to frequently package up existing python, perl, ruby, rust crates, etc for dependencies on packages. However, they also build a lot of other things that aren't covered here. it would make sense for the package to never be built if it has known malware you've already identified. It would make sense for the package manager not to install the malware or at least warn the user it contains malware.
Some of these things detected will result in a CVE and eventually get caught by projects, but there's a delay.
For context, I run a small BSD project but I'm also thinking about all the k8s pods we use at work running debain/ubuntu/alpine packages.
- Lingua principale
- Go
- Stelle
- 925
- Fork
- 75
- Merge medio
- 4g 2h
- PR unite (30g)
- 3
Preparare l'ambiente
- Nessun Dockerfile né file Docker Compose
- Nessun modello di pull request
- Leggi la guida per i contributori
Come iniziare
- Leggi tutta la issue e poi la guida ai contributi del progetto.
- Commenta sulla issue per dire che te ne occupi tu — evita che due persone facciano lo stesso lavoro.
- Fai un fork del repository e lavora su un branch.
- Apri una pull request che faccia riferimento al numero della issue.
Altre issue di ossf/package-analysis
-
Python execute phase aborts with error_analysis when the package closes stdout (MCP stdio servers)Aperta
Difficoltà 3/5 1-2 giorni Idoneità per principianti 78/100
ossf/package-analysis#1200 ·
I maintainer di solito rispondono entro 6 giorni
-
Difficoltà 4/5 3-5 giorni Idoneità per principianti 45/100
ossf/package-analysis#1192 ·
I maintainer di solito rispondono entro 6 giorni
-
Difficoltà 4/5 3-5 giorni Idoneità per principianti 35/100
ossf/package-analysis#1125 ·
I maintainer di solito rispondono entro 6 giorni
-
4gbAperta
Difficoltà 5/5 Più di una settimana Idoneità per principianti 5/100
ossf/package-analysis#1123 ·
I maintainer di solito rispondono entro 6 giorni
-
>4 gbAperta
Difficoltà 5/5 Più di una settimana Idoneità per principianti 10/100
ossf/package-analysis#1122 ·
I maintainer di solito rispondono entro 6 giorni
Tutte le issue di ossf/package-analysis
Issue simili
-
Difficoltà 2/5 1-3 ore Idoneità per principianti 62/100
-
evener-transcript-v2-upgrade tool still scans transcript files through bufio's 4 KiB default bufferAperta
Difficoltà 1/5 Meno di un'ora Idoneità per principianti 78/100
prime-radiant-inc/evener#6370 ·
I maintainer di solito rispondono entro 1 giorno
-
ManageSieve proxy: a backend's NO/BYE greeting is skipped as a capability line and reported as EOFApertabug
Difficoltà 2/5 1-3 ore Idoneità per principianti 72/100
I maintainer di solito rispondono entro 1 giorno
-
Mend: dependency security vulnerability
Difficoltà 2/5 1-3 ore Idoneità per principianti 65/100
-
Mend: dependency security vulnerability
Difficoltà 2/5 1-3 ore Idoneità per principianti 62/100
ManageIQ/manageiq-pods#1476 ·
I maintainer di solito rispondono entro 1 giorno