Conda-forge vulnerability advisories
Maintainer thường phản hồi trong vòng 1 ngày
Chưa có ai nhận issue này.
Đánh giá
- Độ khó
- 5/5
- Thời gian dự kiến
- Hơn một tuần
- Mức phù hợp với người mới
- 25/100
Hướng nghiên cứu
Bắt đầu bằng cách đọc recipe/meta.yaml và siêu dữ liệu gói đã được render trong thư mục info của mỗi kho lưu trữ, sau đó kiểm tra contrib/url2purl.py của packageurl-python và vulnerablecode API hoặc bản kết xuất dữ liệu. Issue mô tả một pipeline rộng bao phủ 27.000 recipe, nhưng không nêu tên tệp triển khai, các bài kiểm thử, điểm vào có phạm vi cụ thể hoặc tiêu chí chấp nhận, vì vậy việc hoàn thành chưa được định nghĩa cho một đóng góp đầu tiên.
Do mô hình lập chỉ mục viết ra từ nội dung của issue.
Mô tả
To infer vulnerability advisories for existing conda-forge packages, we need some smarts, as there are no such data source available that is open and public data.
Here is what we would need to do at a high level
- resolve (jinja?) and parse the meta YAML for the 27K recipes. (Alternatively, we can also use the "rendered recipe" as stored in a package archive. They are in the info folder of the packages and don't contain any Jinja tags anymore.
- infer a PURL using the packageurl-python library
- say for https://github.com/conda-forge/django-feedstock/blob/5d10012b77cf6c36b6360af593dfff81a2e341c2/recipe/meta.yaml#L9 ...
- infer using https://github.com/package-url/packageurl-python/blob/c7c7b46346eebcd86ec61d4ee7c6a84c3fe5fcc4/src/packageurl/contrib/url2purl.py#L317
- ideally store that upstream PURL in the conda-forge ... also while at it craft a conda-package PURL too, save it too
- using that PURL, lookup in vulnerablecode, get any vulnerability advisories, and get a fixed version if any https://public2.vulnerablecode.io/packages/v2/pkg:pypi/[email protected] (or an API call, or direct data dump and so on)
- eventually also store that data in conda-forge for that version as VEX/CSAF/OSV/CVE
- eventually also attach the conda-forge package to the CVE if there is such CVE @ mitre (best... conda-forge becomes a CNA @ mitre , also of GNA with GCVE)
- (rinse and repeat 27,000 times, mostly everyday or many times a day). That would a combo of VCIO importer and improver
- eventually push and publish at all the feedstocks?
- Ngôn ngữ chính
- Python
- Star
- 716
- Fork
- 347
- Merge trung bình
- 12 giờ 15 phút
- Pull request đã merge (30 ngày)
- 9
Chuẩn bị môi trường
- Có Dockerfile hoặc tệp Docker Compose
- Không có mẫu pull request
- Không có hướng dẫn đóng góp
Bắt đầu từ đâu
- Đọc hết issue, rồi đọc hướng dẫn đóng góp của dự án.
- Bình luận trên issue rằng bạn sẽ nhận — tránh hai người làm cùng một việc.
- Fork repository và làm thay đổi trên một nhánh.
- Mở pull request có tham chiếu số hiệu của issue.
Issue khác của aboutcode-org/vulnerablecode
-
OSV parser drops all crates.io affected entries because the ecosystem mapping uses cargoCó thể đã có người làm @Ashutosh-Panda2004 đã nhận 2 ngày trước. Đang mở
Độ khó 2/5 1-3 giờ Mức phù hợp với người mới 76/100
aboutcode-org/vulnerablecode#2485 · 1 bình luận ·
Maintainer thường phản hồi trong vòng 1 ngày
-
Docker Compose setup fails on wait-for-it host web:8000 and missing runtime .envCó thể đã có người làm @Anurag-S1ngh đã nhận 5 ngày trước. Đang mở
Độ khó 2/5 Nửa ngày Mức phù hợp với người mới 77/100
aboutcode-org/vulnerablecode#2477 · 1 bình luận ·
Maintainer thường phản hồi trong vòng 1 ngày
-
OVAL parser corrupts version bounds when the epoch is 10, 20 or the version contains "0:"Có thể đã có người làm @Ashutosh-Panda2004 đã nhận 3 ngày trước. Đang mở
Độ khó 2/5 1-3 giờ Mức phù hợp với người mới 76/100
aboutcode-org/vulnerablecode#2474 · 1 bình luận ·
Maintainer thường phản hồi trong vòng 1 ngày
-
Độ khó 2/5 1-3 giờ Mức phù hợp với người mới 86/100
aboutcode-org/vulnerablecode#2426 ·
Maintainer thường phản hồi trong vòng 1 ngày
-
Get NuGet package versions from federated PURL version data in https://github.com/aboutcode-data/Có thể làm lại được @Anshi321 đã nhận 25 ngày trước và không có pull request nào đang mở. Đang mởbug data-quality
Độ khó 2/5 1-3 giờ Mức phù hợp với người mới 72/100
aboutcode-org/vulnerablecode#2418 · 4 bình luận ·
Maintainer thường phản hồi trong vòng 1 ngày
Tất cả issue của aboutcode-org/vulnerablecode
Issue tương tự
-
priority middle
Độ khó 1/5 Dưới một giờ Mức phù hợp với người mới 62/100
KATO-Hiro/AtCoderClans#12940 ·
Maintainer thường phản hồi trong vòng 1 ngày
-
Độ khó 1/5 Dưới một giờ Mức phù hợp với người mới 76/100
huggingface/huggingface_hub#5283 ·
Maintainer thường phản hồi trong vòng 1 ngày
-
Độ khó 1/5 Dưới một giờ Mức phù hợp với người mới 78/100
Maintainer thường phản hồi trong vòng 1 ngày
-
enhancement
Độ khó 1/5 Dưới một giờ Mức phù hợp với người mới 86/100
ccxt/ccxt#31045 · 1 bình luận ·
Maintainer thường phản hồi trong vòng 1 ngày
-
bug example
Độ khó 2/5 1-3 giờ Mức phù hợp với người mới 86/100
Maintainer thường phản hồi trong vòng 1 ngày