クイズ: 目録と脆弱性情報の突き合わせ

OSV 범위에서 fixed 로 적힌 버전 자체는 어떻게 판정되는가?

• 영향받는 것으로 본다 — 구간의 마지막 버전이다
• 판정할 수 없어 사람이 확인해야 한다
• 생태계 종류에 따라 달라져 정해져 있지 않다
• 영향받지 않는 것으로 본다 — 거기서 고쳐졌기 때문이다

last_affected 의 경계 판정이 fixed 와 반대인 이유는?

• 심각도가 높은 권고에만 쓰이는 필드라서
• 생태계 종류가 ECOSYSTEM 일 때만 쓰이는 필드라서
• '여기까지 영향받는다' 는 뜻이라 그 값 자체가 아직 영향 안이라서
• 값이 커밋 해시라 순서 비교가 불가능해서

버전을 문자열로 비교하면 무엇이 잘못되는가?

• 1.9.0 이 1.10.0 보다 크다고 나온다
• 선행 v 가 붙은 버전을 읽지 못한다
• 빌드 메타데이터가 잘려 나간다
• 정렬은 맞지만 비교 속도가 느려진다

한 권고의 events 에 introduced 가 두 번 나오는 경우는 무엇을 뜻하는가?

• 자료가 잘못 작성된 것이므로 무시해야 한다
• 같은 결함이 서로 다른 두 구간에서 영향을 준다는 뜻
• 심각도가 두 단계로 나뉜다는 뜻
• 두 생태계에 같은 이름의 패키지가 있다는 뜻

면제(waiver)를 '고칠 판이 없는 것' 에만 주어야 하는 이유는?

• 고칠 판이 있는 것은 심각도가 낮게 매겨지기 때문에
• 면제 파일의 크기를 줄여야 하기 때문에
• 고칠 수 있는데도 면제가 통하면 관문이 그날부터 장식이 되기 때문에
• 자료 제공자가 그렇게 요구하기 때문에

개발 전용 의존의 취약점을 배포 의존과 다른 칸에 두는 이유는?

• 배포 산출물에 실리지 않아 사용자에게 닿는 경로가 다르기 때문에
• 개발 전용 의존은 취약점 자료에 등록되지 않아서
• 개발 전용 의존은 버전 비교 규칙이 다르기 때문에
• 스캐너가 개발 전용 의존을 읽지 못하기 때문에