POST: matching vulnerabilities to packages is not easy
还没有人认领这个 Issue。
评估
- 难度
- 3/5
- 预计耗时
- 3-5 天
- 新手友好度
- 35/100
- Issue 类型
- 文档
- 描述清晰度
- 基本清楚
- 活跃度
- 停滞
- 领域
- content, documentation
调研方向
先阅读链接的讨论和初始发布内容，然后比较 issue 中列出的 upstream 和 downstream advisory 链接。当文章清楚解释为什么难以将漏洞与软件包对应起来，并且如实反映所引用的证据，同时不让受影响版本或已修复版本变得含糊不清时，这项工作就完成了。
由索引模型根据 Issue 内容生成。
描述
This would be a post to explain the issues in https://github.com/aboutcode-org/dejacode/discussions/302#discussioncomment-12995054
Links:
- Initial publication https://github.com/Valentin-Metz/writeup_split
- https://www.openwall.com/lists/oss-security/2024/01/18/2
- Introduced by https://github.com/coreutils/coreutils/commit/40bf1591bb4362fa91e501bcec7c2029c5f65a43#diff-30bc328ab3afa0ab9f17c6e7cf1752d558ae37cf4200e95bbb04c405c2b59518L821
- Initial coreutils patch https://github.com/coreutils/coreutils/commit/c4c5ed8f4.patch
- https://github.com/coreutils/coreutils/blob/3a5c9c5537227eafc38c5657024584cdad63112a/NEWS#L204
- Red Hat https://bugzilla.redhat.com/show_bug.cgi?id=2258948
- CVE.org https://github.com/CVEProject/cvelistV5/blame/main/cves/2024/0xxx/CVE-2024-0684.json
- SUSE https://bugzilla.suse.com/show_bug.cgi?id=CVE-2024-0684
- Debian https://security-tracker.debian.org/tracker/CVE-2024-0684 and https://bugs.debian.org/cgi-bin/bugreport.cgi?bug=1061138
- Ubuntu https://ubuntu.com/security/CVE-2024-0684
- Fedora FC39 and FC40 https://bugzilla.redhat.com/show_bug.cgi?id=2258913 and https://bodhi.fedoraproject.org/updates/FEDORA-2024-6b85e8848f and https://bodhi.fedoraproject.org/updates/FEDORA-2024-7e5ca38c70
- Gentoo https://bugs.gentoo.org/show_bug.cgi?id=CVE-2024-0684
- NVD with history https://nvd.nist.gov/vuln/detail/CVE-2024-0684#VulnChangeHistorySection
https://github.com/coreutils/coreutils/blob/3a5c9c5537227eafc38c5657024584cdad63112a/NEWS#L204
Why does this matter? The upstream report was clear on affected and fixed version. Downstream advisories make the issue less clear and a source of possible confusion.
- 主要语言
- JavaScript
- 星标
- 9
- 派生
- 17
- 平均合并
- 7 小时 55 分钟
- 30 天内合并 PR
- 2
环境准备
这个项目没有提供开发容器、Dockerfile 或贡献指南，环境需要你自己搭建：先看它的 README，通用步骤见我们的新手贡献指南。
从这里开始
- 先读完整个 Issue，再读项目的贡献指南。
- 在 Issue 下留言说明你要接手 —— 这能避免两个人做同样的事。
- Fork 仓库，在一个分支上完成修改。
- 提交 Pull Request，并在描述里引用这个 Issue 编号。
aboutcode-org/www.aboutcode.org 的其他 Issue
-
Making all post button.可能已有人在做 @sarthaklole 于 70 天前认领。 未关闭
难度 2/5 1-3 小时 新手友好度 72/100
aboutcode-org/www.aboutcode.org#117 · 3 条评论 ·
-
WWW: Reduce frequency of update-releases可能重新可做 @johnmhoran 于 51 天前认领，目前没有进行中的 PR。 未关闭ci-workflow
难度 2/5 1-3 小时 新手友好度 45/100
aboutcode-org/www.aboutcode.org#180 · 已指派 1 人 ·
-
DOCS: Create new AboutCode stack diagram(s)可能重新可做 @hixvikas 于 53 天前认领，目前没有进行中的 PR。 未关闭documentation
难度 5/5 一周以上 新手友好度 35/100
aboutcode-org/www.aboutcode.org#166 · 1 条评论 ·
-
WWW: Create About top level page?可能已有人在做 @pombredanne 于 154 天前认领。 未关闭website
难度 2/5 1-3 小时 新手友好度 35/100
aboutcode-org/www.aboutcode.org#164 · 1 个 reaction · 已指派 1 人 ·
-
WWW: Add Initiatives and grant Projects可能重新可做 @mjherzog 于 241 天前认领，目前没有进行中的 PR。 未关闭enhancement needs design website
难度 5/5 一周以上 新手友好度 25/100
aboutcode-org/www.aboutcode.org#141 · 已指派 1 人 ·
查看 aboutcode-org/www.aboutcode.org 的全部 Issue
相似的 Issue
-
ai-driven-fuzzing bug claude Minor
难度 2/5 1-3 小时 新手友好度 78/100
linagora/cozy-client#1777 · 1 条评论 · 1 个 reaction ·
维护者通常 1 天内回复
-
[guide] AGENTS.md claims the coverage gate, e2e and full lint run on every PR after ADR 0011 focused validation可能已有人在做 @hivecommons-hive 今天认领。 未关闭agent/guide documentation hive/claimed-by-guide stage/040-covered-by-pr
难度 2/5 1-3 小时 新手友好度 81/100
维护者通常 1 天内回复
-
check:passed feeds:add
难度 2/5 1-3 小时 新手友好度 65/100
维护者通常 4 天内回复
-
CMS video element: "CmsVideoPlugin" sets `volume = 0`, so videos cannot be unmuted on Android Chrome未关闭needs-triage Platform(Default)
难度 2/5 1-3 小时 新手友好度 76/100
维护者通常 1 天内回复
-
难度 2/5 1-3 小时 新手友好度 78/100
all-contributors/cli#587 ·
维护者通常 1 天内回复