# vuln-suse – SUSE/openSUSE CSAF mirror

Spiegelt die offiziellen **CSAF 2.0 Advisory-Rohdaten** (SUSE und openSUSE) ab Advisory-Jahr 2017 direkt nach Git.

Quelle (GWDG-Mirror): https://ftp2.gwdg.de/pub/linux/suse/projects/security/csaf/

- `data/index.txt`: unveränderter offizieller Index.
- `data/csaf/<jahr>/<advisory>.json`: unveränderte CSAF-Dokumente.
- `state/sync.json`: Indexstand und Rotation für die Rückprüfung alter Dateien.

**Nicht enthalten:** Die separate SUSE CSAF-VEX-Sammlung nach CVE. Diese kann als eigenes Repository `vuln-suse-vex` folgen.

## Gitea-Installation

1. Leeres Repository `VULN/vuln-suse` erstellen.
2. Dateien initial nach `main` pushen.
3. Auf dem Gitea-Runner-Host:
   `sudo install -d -o act_runner -g act_runner -m 700 /var/lib/act_runner/cache/vuln-suse`
4. `git`, `python3`, `flock` (`util-linux`) installieren.
5. Workflow `SUSE CSAF Mirror` manuell starten. Automatisch alle 6 Stunden um Minute 31 (UTC).
6. Gitea-Jobtoken `secrets.GITEA_TOKEN` benötigt Schreibrecht auf das Repository.

## Ablauf

- Erstimport: alle Advisory-JSONs ab 2017 aus `index.txt`.
- Weitere Läufe: neue/fehlende Dokumente und 300 ältere Dokumente zur Änderungserkennung.
- Vollabgleich: `python3 scripts/sync.py --full` im persistenten Checkout.
- Fehlgeschlagene Downloads verhindern Statusfortschreibung und Löschungen.
- Alte Dateien werden nur entfernt, wenn sie nach erfolgreichem Indexabruf nicht mehr gelistet sind.

**Grenze:** Änderungen an alten Dokumenten werden bei der rotierenden Kontrolle verzögert erkannt. `changes.csv` wird aktuell nicht ausgewertet. Der öffentliche GWDG-Mirror kann dem SUSE-Ursprung zeitlich hinterherhinken. Große Erstimports benötigen entsprechend Speicher und Git-Commit-Zeit. Für produktive Nutzung empfiehlt sich zusätzlich ein regelmäßiger `--full`-Abgleich.

Sicherheit: Ein `:host`-Runner führt Workflows direkt auf der Gitea-VM aus. Repository-Schreibrechte beschränken und nur vertrauenswürdige Branches ausführen.