Update NIST CPE Dictionary
まだ誰も着手していません。
評価
- 難易度
- 5/5
- 見積もり時間
- 1週間以上
- 初心者へのやさしさ
- 25/100
- issue の種類
- 機能追加
- 明瞭さ
- おおむね明確
- 活発さ
- 停滞
- 領域
- security
調査の方向性
issue にある NIST CPE Dictionary のリンクと、LoopBack および関連パッケージについて提案されている CPE 識別子から始めます。どのエントリを失効、置換、追加すべきかを判断し、その後、最終的な命名を NIST と確認します。合意した CPE レコードが登録され、repository のセキュリティガイダンスにそれらが反映されれば完了です。
索引モデルが issue の本文から書いたものです。
説明
CPE (Common Platform Enumeration) is a standard syntax for describing software (e.g. vendor, software type, software name, version).
The NIST CPE Dictionary is a central database of registered CPEs. Vendors can register their CPEs with NIST to be added to the database.
Currently, LoopBack only has 1 CPE entry, cpe:2.3:a:ibm:loopback:8.0.0:*:*:*:*:*:*:*.
Here is a 3-part proposal:
- IBM is no longer the vendor for LoopBack
To solve this, we can revoke the current CPE and replace it with the following:
cpe:2.3:a:loopback:\@loopback\/rest:8.0.0:*:*:*:*:*:*:*
Note that the CPE above is not registered and may change once we contact NIST. The backslash is used to "quote" printable, non-alphanmuric characters in accordance with the CPE 2.3 specification. - Other vulnerable LoopBack packages with a published CVE do not have an associated CPE.
LB2/3 is quite different from LB4. Hence one proposal is to utilise the DefinitelyTyped syntax by:
a. Replacing the above CPE with double underscore
b. Use hyphen as per-normal for LB2/3 packages (e.g.loopback-boot)
This allows us to exploit the existing distinctive property separating LB2/3 and LB4, that LB2/3 packages are unscoped while LB4 packages are scoped. - For "non-LoopBack" packages such as
strong-soap, keep theloopbackvendor and use the package name as per-normal, similar to 2.a.
- 主要言語
- TypeScript
- スター
- 4
- フォーク
- 1
- PR マージ指標
- 30日以内にマージされた PR はありません
コントリビューションガイド
このリポジトリのコントリビューションガイドは索引されていません
はじめの一歩
- issue を最後まで読み、次にプロジェクトのコントリビューションガイドを読みます。
- 着手することを issue にコメントします — 二人が同じ作業をするのを防げます。
- リポジトリをフォークし、ブランチを切って変更します。
- issue 番号を参照したプルリクエストを送ります。
loopbackio/security のほかの issue
-
難易度 4/5 3〜5日 初心者へのやさしさ 45/100
loopbackio/security#42 ·
-
難易度 5/5 1週間以上 初心者へのやさしさ 25/100
loopbackio/security#41 ·
-
難易度 5/5 1週間以上 初心者へのやさしさ 25/100
loopbackio/security#40 ·
-
openjsf
難易度 5/5 1週間以上 初心者へのやさしさ 25/100
loopbackio/security#39 ·
-
難易度 5/5 1週間以上 初心者へのやさしさ 25/100
loopbackio/security#38 ·
loopbackio/security の issue をすべて見る
似ている issue
-
VerificationGate: ATTRIBUTION quote guard never matches a normal quotation (\b around the quote) オープン
難易度 2/5 1〜3時間 初心者へのやさしさ 75/100
danielmiessler/LifeOS#2234 ·
-
T: Bug
難易度 2/5 1〜3時間 初心者へのやさしさ 75/100
-
難易度 2/5 1〜3時間 初心者へのやさしさ 65/100
-
難易度 1/5 1時間未満 初心者へのやさしさ 85/100
-
Mend: dependency security vulnerability untriaged
難易度 2/5 1〜3時間 初心者へのやさしさ 70/100