vuln-ubuntu/README.md

vuln-ubuntu

Mirror der offiziellen Ubuntu-OSV-JSON-Rohdaten aus https://github.com/canonical/ubuntu-security-notices.

• CVEs ab 2017 unter data/osv/cve/<jahr>/.
• Alle verfügbaren Ubuntu Security Notices und Livepatch Security Notices unter data/osv/usn/ und data/osv/lsn/.
• Kein Reformatieren der JSON-Dateien, unveränderte Bytes des Upstreams.
• Inkrementeller git fetch in einem persistenten Upstream-Checkout.
• Git-Folgeupdates des eigenen Repositories ebenfalls aus einem persistenten Checkout.
• Validierung vor Löschungen; entfernte Upstream-Dateien werden mit Git versioniert gelöscht.
• Alle sechs Stunden um Minute 13 UTC.

Hinweis: Dies ist der OSV-Mirror, nicht eine vollständige Kopie aller Canonical-Formate (beispielsweise VEX und OVAL). CVEs vor 2017 werden bewusst ausgefiltert. Die offiziellen OSV-Daten sind für unterstützte Ubuntu-Releases verfügbar; historischer Abdeckungsgrad hängt vom Upstream ab.

Installation auf der Gitea-VM (Host-Runner ohne Docker)

1. Leeres Repository VULN/vuln-ubuntu erstellen und diesen Ordner als main pushen.

2. sudo apt install -y git python3 util-linux ca-certificates

3. Runner-Cache anlegen:

   sudo install -d -o act_runner -g act_runner -m 700 /var/lib/act_runner/cache/vuln-ubuntu
   

4. Bootstrap-Skript einmalig auf der Gitea-VM installieren (wird außerhalb des Repositories ausgeführt, weil wir absichtlich keine Checkout-Action verwenden):

   sudo install -o act_runner -g act_runner -m 700 scripts/run-cached.sh /var/lib/act_runner/cache/vuln-ubuntu/run-cached.sh
   

5. Der vorhandene vuln-runner muss das Label vuln-runner tragen und secrets.GITEA_TOKEN muss Schreibrechte besitzen.

6. In Gitea Actions → Ubuntu OSV Mirror → Run workflow starten.

Sicherheits- und Betriebshinweise

Host-Runner führen Code direkt auf der Gitea-VM aus: nur vertrauenswürdige Commits zulassen. Für große Anfangsimporte viel freien Speicherplatz einplanen. Die ungefilterte Quelle kann sehr groß sein. Der erste Clone ist trotzdem erforderlich; danach nur inkrementelle Fetches. Gitea selbst speichert dieselben Rohdaten zusätzlich in Git.

Vorsicht: Wenn GitHub die Filterfähigkeit nicht unterstützt, kann der anfängliche Git-Clone mehr Daten herunterladen als erwartet. Der verwendete Job-Token wird nur im Prozess weitergegeben, nicht in die Remote-URL geschrieben. Die Daten werden vor Commit geprüft, aber ein Produktionslauf gegen den gesamten Upstream wurde noch nicht durchgeführt.

Quelle: https://documentation.ubuntu.com/security/security-updates/osv/ und https://github.com/canonical/ubuntu-security-notices