OSPS catalog drift: retired BR-01.02 still assessed; VM-04.01 PASSes on GitHub Issues being enabled
メンテナーはふだん 1 日以内に返信
まだ誰も着手していません。
評価
調査の方向性
Start by reading packages/darnit-baseline/src/darnit_baseline/openssf-baseline.toml at OSPS-BR-01.02 and OSPS-VM-04.01, then inspect the existing catalog-drift CI check. Confirm how retired controls affect compliance scoring and how VM-04.01 evaluates its result. Done means retired controls are excluded from assessment and VM-04.01 no longer passes solely because GitHub Issues are enabled.
索引モデルが issue の本文から書いたものです。
説明
Summary
Two OSPS control definitions are out of line with the upstream Baseline catalog:
- OSPS-BR-01.02 is retired upstream but still assessed. security-baseline marks it "Retired in ossf/security-baseline#443" (state
Retiredin v2026.08.28, applicabilityretiredin v2026.02.19). darnit still defines and scores it. - OSPS-VM-04.01 checks the wrong thing. The requirement is "The project documentation MUST publicly publish data about discovered vulnerabilities." darnit's pass runs
gh api /repos/$OWNER/$REPO --jq .has_issuesand PASSes when GitHub Issues is enabled, with the description "Repository supports security advisories". Issues being enabled says nothing about published vulnerability data, so this is a false PASS.
Evidence
- VM-04.01 pass: https://github.com/darnitdevorg/darnit/blob/032493b8bc9d6ef810ecd639e515042371465c37/packages/darnit-baseline/src/darnit_baseline/openssf-baseline.toml#L2889-L2895
- BR-01.02 is defined in openssf-baseline.toml (search
OSPS-BR-01.02); upstream: https://github.com/ossf/security-baseline/pull/443
Suggested direction
- Remove BR-01.02 (or mark it retired and exclude it from compliance math), and extend the existing catalog-drift CI check to fail on controls that upstream marks retired.
- For VM-04.01, stop concluding PASS from
has_issues; look for published advisories (GitHub Security Advisories for the repo, OSV entries, or a documented vulnerability-disclosure location) and fall back to WARN/manual. - Worth a full pass comparing control descriptions against upstream text; several descriptions paraphrase the requirement loosely.
- 主要言語
- Python
- スター
- 22
- フォーク
- 27
- 平均マージ
- 1日 20時間
- マージ済み PR（30日）
- 39
環境構築
- Dockerfile・Docker Compose ファイルなし
- プルリクエストのテンプレートあり
- コントリビューションガイドを読む
はじめの一歩
- issue を最後まで読み、次にプロジェクトのコントリビューションガイドを読みます。
- 着手することを issue にコメントします — 二人が同じ作業をするのを防げます。
- リポジトリをフォークし、ブランチを切って変更します。
- issue 番号を参照したプルリクエストを送ります。
darnitdevorg/darnit のほかの issue
-
needs triage
難易度 2/5 1〜3時間 初心者へのやさしさ 78/100
darnitdevorg/darnit#589 ·
メンテナーはふだん 1 日以内に返信
-
needs triage
難易度 2/5 1〜3時間 初心者へのやさしさ 83/100
darnitdevorg/darnit#587 ·
メンテナーはふだん 1 日以内に返信
-
needs triage
難易度 2/5 1〜3時間 初心者へのやさしさ 65/100
darnitdevorg/darnit#585 ·
メンテナーはふだん 1 日以内に返信
-
quality
難易度 2/5 1〜3時間 初心者へのやさしさ 66/100
darnitdevorg/darnit#523 ·
メンテナーはふだん 1 日以内に返信
-
documentation good first issue
難易度 2/5 1〜3時間 初心者へのやさしさ 76/100
darnitdevorg/darnit#516 ·
メンテナーはふだん 1 日以内に返信
darnitdevorg/darnit の issue をすべて見る
似ている issue
-
難易度 1/5 1〜3時間 初心者へのやさしさ 82/100
メンテナーはふだん 1 日以内に返信
-
難易度 1/5 1時間未満 初心者へのやさしさ 85/100
tharje/spooler-v2#20 ·
-
難易度 2/5 1〜3時間 初心者へのやさしさ 75/100
メンテナーはふだん 1 日以内に返信
-
Bump version of azure-servicebus対応中かも @joostlek が今日担当しました。 オープン
難易度 2/5 1〜3時間 初心者へのやさしさ 68/100
home-assistant/core#186275 ·
メンテナーはふだん 1 日以内に返信
-
documentation
難易度 1/5 1時間未満 初心者へのやさしさ 72/100