vuln-oracle – Oracle Security Advisory Mirror
Öffentliche Oracle Security Advisories ab 2017 als unveränderte HTML-Rohdokumente plus von Oracle verlinkte CSAF-JSON-Risikomatrizen, wo vorhanden.
Datenquellen
Erfasst CPUs, CSPUs, Security Alerts und Solaris Third Party Bulletins, sofern in den beiden Übersichtsseiten mit Jahresangabe gelistet. Ältere Advisories haben nicht zwingend CSAF-JSON. My Oracle Support (Login/Patches) wird nicht abgerufen.
Einrichtung
- In Gitea unter
VULNdas leere Repositoryvuln-oracleanlegen. - Dateien hochladen (
git init,git branch -M main,git add .,git commit ...,git remote add origin ...,git push -u origin main). - Auf der Gitea-VM als root:
apt-get install -y python3 git util-linux
install -d -o act_runner -g act_runner -m 700 /var/lib/act_runner/cache/vuln-oracle
- Gitea Actions für dieses Repository aktivieren und mit dem vorhandenen Host-Runner
vuln-runnerstarten. Zeitplan: alle 6 Stunden um Minute 11 (UTC, soweit Gitea entsprechend konfiguriert).
Der Workflow nutzt das automatisch bereitgestellte secrets.GITEA_TOKEN. Das Secret muss im Job vorhanden sein und contents: write erhalten; andernfalls die Variable in der YAML auf den eigenen Token-Namen ändern.
Layout
data/index/ # Originale Übersichtsseiten
data/advisories/YYYY/ # Originale Oracle HTML-Advisories
data/csaf/YYYY/ # Originale CSAF JSON (nur wo verlinkt)
state/catalog.json # Indizierte Advisory-Liste
Verhalten
- Alle 6 Stunden werden alle gelisteten Dokumente erneut per HTTP abgerufen und nur bei veränderten Bytes in Git geschrieben.
- Das ist ein inkrementeller Git-Commit, aber kein HTTP-Delta-Download. Der Oracle-Datenumfang ist deutlich kleiner als OSV/NVD.
- Link- oder Download-Fehler führen zum Abbruch ohne Commit. Fehlende historische Dokumente werden nicht automatisch gelöscht.
- Die Discovery prüft einen Mindestumfang; bei geändertem HTML-Layout wird kein vermeintlich erfolgreicher leerer Sync veröffentlicht.
- Enthält keine kommerziellen Patches oder interne MOS-Dokumente. Oracle-Lizenz-/Nutzungsbedingungen vor einer öffentlichen Weiterverteilung der Rohdaten prüfen.
Lokal testen
python3 scripts/sync.py --since-year 2017
python3 scripts/validate.py
Hinweis: Die URL-Strukturen und die HTML/CSAF-Verknüpfung sind geprüft. Vollständige Live-Läufe und Git-Pushes müssen auf der eigenen Gitea-VM getestet werden.