gems/ディレクトリには、rubygems.org上のRubyライブラリの名前と一致するサブディレクトリが含まれています。各ディレクトリ内には、Rubyライブラリ用の1つ以上のアドバイザリファイルがあります。これらのアドバイザリファイルは、アドバイザリのCVEまたはGHSA IDを使用して命名されています。

rubies/

rubies/ディレクトリには、各Ruby実装のサブディレクトリが含まれています。各ディレクトリ内には、Ruby実装用の1つ以上のアドバイザリファイルがあります。これらのアドバイザリファイルは、アドバイザリのCVEまたはGHSA IDを使用して命名されています。

例

各アドバイザリファイルには、YAML形式のアドバイザリ情報が含まれています。以下にアドバイザリの例をいくつか示します：

gems/actionpack/CVE-2023-22795.yml

rubies/ruby/CVE-2022-28739.yml

YAMLスキーマ

gems

• gem [String] (必須): 影響を受けるgemの名前。
• library [String] (任意): 影響を受けるgemが属するRubyライブラリの名前。
• framework [String] (任意): 影響を受けるgemが属するフレームワークの名前。(例: rails)
• platform [String] (任意): この脆弱性がプラットフォーム固有の場合、この脆弱性が影響するプラットフォームの名前 (例: jruby)
• cve [String] (任意): Common Vulnerabilities and Exposures (CVE) ID。
• osvdb [Integer] (任意): Open Sourced Vulnerability Database (OSVDB) ID。
• ghsa [String] (任意): GitHub Security Advisory (GHSA) ID。
• url [String] (必須): 完全なアドバイザリへのURL。
• title [String] (必須): アドバイザリまたは個々の脆弱性のタイトル。単一行の文である必要があります。
  • title: フィールドは80桁で折り返します。
• date [Date] (必須): アドバイザリの公開日。
• description [String] (必須): 脆弱性を説明する1つ以上の段落。複数の段落を含めることができます。
  • 複数の文/行になる場合は description: | を使用します。
  • descriptions: フィールドは80桁で折り返します。
  • description: フィールドに「POC」、「PoC」、「Proof of Concept」の見出しセクション（大文字小文字を問わず）を含めないでください。
  • description: フィールドで「\n」または「%」を使用しないでください。
• cvss_v2 [Float] (任意): 脆弱性のCVSSv2スコア。
• cvss_v3 [Float] (任意): 脆弱性のCVSSv3スコア。
• cvss_v4 [Float] (任意): 脆弱性のCVSSv4スコア。
• unaffected_versions [Array<String>] (任意): Rubyライブラリの影響を受けないバージョンのバージョン要件。
  • unaffected_versions のバージョン範囲は引用符で囲む必要があります (例: ">= 1.2.3")。
• patched_versions [Array<String>] (任意): Rubyライブラリのパッチ適用済みバージョンのバージョン要件。
  • patched_versions のバージョン範囲は引用符で囲む必要があります (例: ">= 1.2.3")。
  • パッチ適用済みバージョンの識別子がない場合は、patched_versions: を省略します。
• related [Hash<Array<String>>] (任意): アドバイザリが多くのURLやその他の識別子を参照することがあります。サポートされているキー： cve、ghsa、osvdb、url
  • サポートされているすべてのキーは、左マージンから4スペースです。
  • cve、ghsa、osvdb の関連フィールドはURLではありません。
• notes [String] (任意): このデータベースへの脆弱性の包含に関する内部メモ。

rubies

• engine [ruby | mruby | jruby | truffleruby] (必須): 影響を受けるRuby実装の名前。
• platform [String] (任意): この脆弱性がプラットフォーム固有の場合、この脆弱性が影響するプラットフォームの名前 (例: jruby)
• cve [String] (任意): Common Vulnerabilities and Exposures (CVE) ID。
• osvdb [Integer] (任意): Open Sourced Vulnerability Database (OSVDB) ID。
• ghsa [String] (任意): GitHub Security Advisory (GHSA) ID。
• url [String] (必須): 完全なアドバイザリへのURL。
• title [String] (必須): アドバイザリまたは個々の脆弱性のタイトル。単一行の文である必要があります。
  • title: フィールドは80桁で折り返します。
• date [Date] (必須): アドバイザリの公開日。
• description [String] (必須): 脆弱性を説明する1つ以上の段落。複数の段落を含めることができます。
  • 複数の文/行になる場合は description: |（|- ではない）を使用します。
  • descriptions: フィールドは80桁で折り返します。
  • description: フィールドで「\n」または「%」を使用しないでください。
  • description: フィールドに「POC」、「PoC」、「Proof of Concept」の見出しセクション（大文字小文字を問わず）を含めないでください。
• cvss_v2 [Float] (任意): 脆弱性のCVSSv2スコア。
• cvss_v3 [Float] (任意): 脆弱性のCVSSv3スコア。
• cvss_v4 [Float] (任意): 脆弱性のCVSSv4スコア。
• unaffected_versions [Array<String>] (任意): Ruby実装の影響を受けないバージョンのバージョン要件。
  • unaffected_versions フィールドは、左マージンから2スペースです。* cve、ghsa、osvdb の関連フィールドはURLではありません。
• patched_versions [Array<String>] (任意): Ruby実装のパッチ適用済みバージョンのバージョン要件。
  • patched_versions/unaffected_versions のバージョン範囲は引用符で囲む必要があります (例: ">= 1.2.3")。
  • patched_versions フィールドは、左マージンから2スペースです。
  • パッチ適用済みバージョンの識別子がない場合は、patched_versions: を省略します。
• related [Hash<Array<String>>] (任意): アドバイザリが多くのURLやその他の識別子を参照することがあります。サポートされているキー： cve、ghsa、osvdb、url
  • サポートされているすべてのキーは、左マージンから4スペースです。
  • cve、ghsa、osvdb の関連フィールドはURLではありません。
• notes [String] (任意): このデータベースへの脆弱性の包含に関する内部メモ。

一般的な貢献ガイドライン

• アドバイザリファイル名
  • OSVDBファイル命名よりもCVEまたはGHSAを優先します。
  • ルートの url: フィールドの値と等しくする必要があります。
• 2016年以降のアドバイザリについては、次のWebサイトのいずれかにある「公開済み」または「予約済み」のCVEのみを使用します：
  • https://nvd.nist.gov/vuln/search
  • https://www.cve.org/CVERecord
• すべてのテキストは80桁で折り返す必要があります。
  • YAMLは2スペースでインデントする必要があります。
  • Ruby YAMLは埋め込まれた「:」文字を好みません。
  • 詳細については：
    • Github Action workflow
• 追加のlintチェックのために rspec spec/schema_validation_spec.rb を実行します。
• すべてのURLのデッドリンクを確認します。
  • URLがデッドの場合は、https://web.archive.org にコピーがあるか確認し、そのリンクを貼ります。

テスト

プルリクエストを送信する前に、テストを実行します：

GitHub Security Advisory同期 (GHSA)

• 通常のGHSA/SYNCワークフローは次のとおりです：

  1. "GH_API_TOKEN=GITHUB_TOKEN_VALUE bundle exec rake sync_github_advisories" Rubyスクリプトを実行します。

     • rakeタスクは、欠落しているアドバイザリのYAMLファイルを書き込みます。
       • 次に、"./lib/rad-ignores.sh" シェルスクリプトを実行して 重複するアドバイザリを無視します。
       • 次に、すべてのgemsおよびrubiesのymlファイルに対して "yamllint" を実行します。
     • 詳細はこの段落の後に続きます。

  2. lintチェックを実行するために "rake" を実行します。

  3. 新しいまたは変更されたアドバイザリがある場合は、リポジトリにPRを送信します。

  4. 注意：手順2と5の間で、ファイルを手動で編集する必要がある場合があります。

GitHub Security Advisory APIに含まれているが、このデータセットにはまだ含まれていないRubyGemアドバイザリの初期YAMLファイルを作成するスクリプトがあります。このスクリプトは、このリポジトリがGitHub Security Advisoryデータに存在するすべてのデータを確実に持つように定期的に実行できます。

GitHub Security Advisory APIにアクセスするにはトークンが必要です。

• 完全にスコープのないトークンにすることができます（推奨）。権限は一切必要ありません。
• こちらで取得できます：https://github.com/settings/tokens

すべてのアドバイザリを取得するためにGitHub Security Advisory同期を実行するには、まずrakeタスクを実行します：

または、単一のgemのアドバイザリのみを取得する場合：

Rails LTS

Rails LTSのメンテナーは、Rails LTSバージョンを追跡しないよう私たちに依頼しました。 Rails LTSとbundler-auditを使用している場合は、.bundler-audit.yml ファイルの ignore: の下に[Rails LTSで対応しているCVEのリスト]を追加することをお勧めします。

生成AIによる貢献に関するポリシー

プロジェクトのセキュリティを保護し、メンテナーのボランティア時間を尊重するため、すべての提出物には人間による確認が厳格に必要です。AIツールはアシスタントとして許可されていますが、貢献者は自分の作業を個人的にレビューし、理解し、完全な責任を負う必要があります。レビューされていない機械出力と思われる貢献は直ちにクローズされ、繰り返し違反した者はプロジェクトから追放され、報告されます。

クレジット

CONTRIBUTORS.mdをご覧ください。

このデータベースには、Open Security Foundation (OSF)とその貢献者によって開発されたOpen Sourced Vulnerability Databaseのデータも含まれています。