Data quality issue with CGA-7f3h-rrc2-p5fw
メンテナーはふだん 1 日以内に返信
まだ誰も着手していません。
評価
- 難易度
- 4/5
- 見積もり時間
- 3〜5日
- 初心者へのやさしさ
- 48/100
調査の方向性
Start by reading the linked OSV record and the Chainguard advisory JSON for CGA-7f3h-rrc2-p5fw, then trace how osv.dev imports affected package ranges and determines fixed status. Check the existing importer and tests for Chainguard advisories; done means the displayed vulnerability status correctly reflects the fixed package version, with coverage for this revision format.
索引モデルが issue の本文から書いたものです。
説明
CGA-7f3h-rrc2-p5fw
https://osv.dev/vulnerability/CGA-7f3h-rrc2-p5fw
(Yes, it's a CGA, not a CVE - I hope I will be forgiven 😄)
Describe the data quality issue observed
Chainguard do what they can to fix vulnerabilities that affect their base images by building a new revision of the tool and bundling it with the next release of their base images. But for whatever reason (maybe the -r# suffix convention on their internal package revisions), these fixes are not reflected in osv.dev.
Case in point: At the time of writing, the "Import source" https://advisories.cgr.dev/chainguard/v3/osv/CGA-7f3h-rrc2-p5fw.json leads to a JSON-document containing (among other things):
"affected": [
{
"package": {
"ecosystem": "Chainguard",
"name": "glibc-2.44-locale-en",
"purl": "pkg:apk/chainguard/glibc-2.44-locale-en?arch=aarch64"
},
"ranges": [
{
"type": "ECOSYSTEM",
"events": [
{
"introduced": "0"
},
{
"fixed": "2.44-r8"
}
]
}
],
"database_specific": {
"chainguard": {
"applies_to_subpackages": false
}
},
"ecosystem_specific": {
"components": [
{
"component_name": "glibc-2.44-locale-en",
"component_version": "2.44-r7",
"component_type": "apk",
"component_location": "/.PKGINFO",
"component_purl": "pkg:apk/[email protected]",
"latest_event_status": "fixed",
"latest_event_timestamp": "2026-10-06T22:09:28Z"
}
]
}
}
Suggested changes to record
Based on my limited understanding of how this is being used, shouldn't https://osv.dev/vulnerability/CGA-7f3h-rrc2-p5fw be marked as "fixed"? Yet I don't see any such information.
- 主要言語
- Go
- スター
- 3k
- フォーク
- 390
- 平均マージ
- 1日 1時間
- マージ済み PR（30日）
- 143
環境構築
- Dockerfile・Docker Compose ファイルなし
- プルリクエストのテンプレートあり
- コントリビューションガイドを読む
はじめの一歩
- issue を最後まで読み、次にプロジェクトのコントリビューションガイドを読みます。
- 着手することを issue にコメントします — 二人が同じ作業をするのを防げます。
- リポジトリをフォークし、ブランチを切って変更します。
- issue 番号を参照したプルリクエストを送ります。
google/osv.dev のほかの issue
-
難易度 2/5 1〜3時間 初心者へのやさしさ 82/100
メンテナーはふだん 1 日以内に返信
-
難易度 2/5 1〜3時間 初心者へのやさしさ 74/100
google/osv.dev#5824 · コメント 4 件 ·
メンテナーはふだん 1 日以内に返信
-
worker to log more information for gitter internal server errors再び着手できるかも @ZedingZhang が 60 日前に担当しましたが、オープン中のプルリクエストはありません。 オープンstale
難易度 2/5 1〜3時間 初心者へのやさしさ 72/100
google/osv.dev#5809 · コメント 2 件 ·
メンテナーはふだん 1 日以内に返信
-
Create repo purls for GIT ecosystem ranges再び着手できるかも このイシューのプルリクエストはマージされずにクローズされました。 オープンbacklog data quality
難易度 2/5 1〜3時間 初心者へのやさしさ 65/100
google/osv.dev#3807 · コメント 5 件 ·
メンテナーはふだん 1 日以内に返信
-
難易度 5/5 1週間以上 初心者へのやさしさ 35/100
メンテナーはふだん 1 日以内に返信
似ている issue
-
needs-triage
難易度 2/5 1〜3時間 初心者へのやさしさ 72/100
メンテナーはふだん 1 日以内に返信
-
WriterSetTimes: the UTIME_NOW check fails when the kernel uses its coarse clock対応中かも @JakeChampion が今日担当しました。 オープン
難易度 2/5 1〜3時間 初心者へのやさしさ 78/100
JakeChampion/lang#14224 ·
メンテナーはふだん 1 日以内に返信
-
agent-butler-finding bug
難易度 1/5 1時間未満 初心者へのやさしさ 88/100
jordansmall/spindrift#6391 ·
メンテナーはふだん 1 日以内に返信
-
common.Retry: data race on the shared response/err variables when the request context ends mid-attempt (v65.127.0, v65.128.0)対応中かも @kmohit00 が今日担当しました。 オープン
難易度 2/5 1〜3時間 初心者へのやさしさ 78/100
oracle/oci-go-sdk#676 ·
-
難易度 2/5 1〜3時間 初心者へのやさしさ 65/100
SAP/crossplane-provider-btp#1175 ·
メンテナーはふだん 1 日以内に返信