Vulnogram
Mein Fork des Werkzeugs, mit dem CNAs CVE-Datensätze schreiben.
Vulnogram ist das Werkzeug zum Verfassen von Datensätzen in der CVE-Arbeit. Dieser Fork ergänzt Anhangsverwaltung und das Einfügen von CVSS-Vektoren — die zwei Stellen, an denen mich der Ablauf am meisten Zeit kostete — dazu eine Reihe Fehlerbehebungen. Das Ursprungsprojekt und seine Lizenz gehören seinem Autor.
Was es ist
Vulnogram ist das Werkzeug, mit dem CNAs CVE-Datensätze schreiben. Dies ist mein Fork davon, aktuell gehalten für die Teile des Ablaufs, die ich tatsächlich betreibe.
Das Ursprungsprojekt gehört seinem Autor und trägt eine eigene Lizenz, die die Nutzung auf CVE-bezogene Arbeit beschränkt. Diese Lizenz zu ändern steht mir nicht zu, und dieser Fork versucht es nicht.
Warum überhaupt forken
Das Verfassen von Datensätzen ist die Stelle, an der CNA-Arbeit entweder sorgfältig ist oder nicht. Vulnogram ist das beste Werkzeug dafür und zugleich, wie die meisten Werkzeuge der Leute, die sie brauchen, um die Gewohnheiten einer Organisation herum geformt.
Forken war billiger, als für jede Änderung upstream zu streiten, und ehrlicher darüber, dass manche dieser Änderungen nur für meine Arbeitsweise Sinn ergeben.
Was ich geändert habe
Anhänge, das größte Stück. Upload-Verarbeitung, eine Anhangsübersicht, eine Tab-Leiste dorthin und die Konfiguration dahinter. Advisory-Arbeit erzeugt Artefakte: Proofs of Concept, Patches, Korrespondenz mit Meldenden. Sie am selben Ort wie den Datensatz zu halten schlägt einen Ordner, der der nächsten Person nichts sagt.
Einfügen und Bearbeiten von CVSS. Eine Vektor-Zeichenkette einfügen und sie im Editor geparst bekommen, statt eine Bewertung neu einzutippen, die jemand schon berechnet hat. Einen CVSS-Vektor von Hand abzutippen ist ein Übertragungsfehler, der nur auf seine Gelegenheit wartet, und der Vektor ist der Teil, der stimmen muss.
Darüber hinaus eine Reihe Fehlerbehebungen, darunter eine kritische.
Wo es steht
47 Commits auf einer Codebasis, die bis 2017 zurückreicht. Das ist ein Fork, den ich pflege, kein Projekt, das ich begonnen habe, und der Eintrag sagt das.