Add Vulnerability Exchange (VEX) statements for CPython SBOMs to reference
I maintainer di solito rispondono entro 1 giorno
Nessuno ha ancora preso questa issue.
Valutazione
- Difficoltà
- 5/5
- Tempo stimato
- Più di una settimana
- Idoneità per principianti
- 25/100
Direzione di ricerca
Inizia leggendo la issue CPython correlata, la 112302, e confronta i formati proposti OpenVEX e CycloneDX. Definisci come i documenti VEX farebbero riferimento alle dipendenze SBOM di CPython, verrebbero ospitati in una posizione HTTPS e aggiornati tramite pull request GitHub; il completamento richiede un formato documentato e un workflow di contribuzione documentato.
Scritto dal modello di indicizzazione a partire dal testo della issue.
Descrizione
Part of https://github.com/python/cpython/issues/112302
Is your feature request related to a problem? Please describe.
CPython and its artifacts contain many dependencies which can have vulnerabilities. In the interest of not causing mass-confusion from SBOM consumers about the status of the vulnerabilities in dependencies (especially when those vulnerabilities aren't exploitable, like is usually the case for CPython's usage of OpenSSL) it is useful to provide a systematic and automatic mechanism to quell SBOM consumers questions on a potentially vulnerable component.
Describe the solution you'd like
- VEX document(s) which are capable of referencing dependencies inside of CPython SBOMs and making determinations about affectedness of vulnerabilities.
- Need to evaluate VEX formats (OpenVEX and CycloneDX are my current candidates)
- Referenceable location (via HTTPS) so that CPython SBOMs can reference the document(s)
- Easy way to update the VEX documents via GitHub PR process. Should be easy to contribute so core developers can do so when needed.
- Lingua principale
- Python
- Stelle
- 1.7k
- Fork
- 702
- Merge medio
- 2g 4h
- PR unite (30g)
- 18
Preparare l'ambiente
- Include un Dockerfile o un file Docker Compose
- Ha un modello di pull request
- Nessuna guida per i contributori
Come iniziare
- Leggi tutta la issue e poi la guida ai contributi del progetto.
- Commenta sulla issue per dire che te ne occupi tu — evita che due persone facciano lo stesso lavoro.
- Fai un fork del repository e lavora su un branch.
- Apri una pull request che faccia riferimento al numero della issue.
Altre issue di python/pythondotorg
-
bug
Difficoltà 1/5 Meno di un'ora Idoneità per principianti 88/100
python/pythondotorg#3149 · 2 commenti ·
I maintainer di solito rispondono entro 1 giorno
-
Bug: The code examples on the main page don't match their source codeForse già presa Una pull request collegata a questa issue è aperta o già unita. Apertabug
Difficoltà 2/5 1-3 ore Idoneità per principianti 78/100
python/pythondotorg#3137 · 2 commenti ·
I maintainer di solito rispondono entro 1 giorno
-
app/pages bug
Difficoltà 2/5 1-3 ore Idoneità per principianti 68/100
python/pythondotorg#2677 · 3 commenti ·
I maintainer di solito rispondono entro 1 giorno
-
backend easy
Difficoltà 2/5 1-3 ore Idoneità per principianti 74/100
python/pythondotorg#2453 · 8 commenti ·
I maintainer di solito rispondono entro 1 giorno
-
Bug: Nominee list shows nominations of you, not nominations you made, and ignores the electionForse già presa @jefftriplett l’ha presa 54 giorni fa. Apertabug
Difficoltà 3/5 1-2 giorni Idoneità per principianti 74/100
python/pythondotorg#3094 · 5 commenti ·
I maintainer di solito rispondono entro 1 giorno
Tutte le issue di python/pythondotorg
Issue simili
-
Difficoltà 2/5 1-3 ore Idoneità per principianti 85/100
I maintainer di solito rispondono entro 3 giorni
-
Negation with "not" and "no" is ignored during sentiment analysisForse già presa @vivek-3728 l’ha presa oggi. Aperta
Difficoltà 2/5 1-3 ore Idoneità per principianti 68/100
techcsispit/mess-mood#11 · 1 commento ·
-
changelog investigate
Difficoltà 2/5 1-3 ore Idoneità per principianti 68/100
ramnes/notion-sdk-py#408 ·
-
good first issue
Difficoltà 2/5 1-3 ore Idoneità per principianti 83/100
btclib-org/btclib-wallet#267 ·
I maintainer di solito rispondono entro 1 giorno
-
good first issue tech-debt
Difficoltà 2/5 1-3 ore Idoneità per principianti 85/100
knnmelprop/YAADO#111 ·