mcpField
R
rhdh-overlay-cve-export

rhdh-overlay-cve-export

github.com/redhat-developerセキュリティ1944 回インストール1 日前に更新
リポジトリ

rhdh-overlay-cve-export について

rhdh-overlay-cve-exportは、overlayのGit履歴からRHDH CVE Management向けのCSVを作成するスキルです。パッケージ単位のCVE抽出には指定スクリプトを使い、Jira情報の補完は別工程として扱います。

主な機能

  1. 01overlayのGit履歴を抽出
  2. 02プラグインパッケージとCVEの対応付け
  3. 03スクリプトによるCSV出力
  4. 04Jira情報の別工程での補完
  5. 05出力と完了条件の確認

活用シーン

  1. 01RHDH向けCVE一覧の作成
  2. 02CVE修正を含むプラグインコンテナの特定
  3. 03出力行へのJiraフィールドの反映

インストール

コマンドをコピーしてターミナルで実行します。

$npx skills add https://github.com/redhat-developer/rhdh-skills --skill rhdh-overlay-cve-export

インストール後、Claude Code で/rhdh-overlay-cve-exportを入力して読み込まれたか確認します。

同梱ファイル

SKILL.md と一緒にインストールされる参考資料やスクリプト。

agents/
openai.yaml
references/
overlay-cve-csv-format.md
overlay-cve-sources.md
scripts/
compute-plugin-package-overlay-cve-list.mjs
tests/
compute-plugin-package-overlay-cve-list.test.mjs
workflows/
overlay-cve-export.md

詳細

プラグインオーバーレイ CVE エクスポート

オーバーレイの Git 履歴を、RHDH CVE Management が求める CSV に変換します。一般提供されているワークスペースを対象に、CVE と影響を受けるプラグインパッケージの組み合わせごとに 1 行を出力します。

これはパッケージのインベントリー作成であり、リリース状況の報告ではありません。Git から「どのプラグインコンテナーがどの CVE 修正を含むか」を確認するものであり、「リリースの状況はどうか」を確認するものではありません。後者は /rhdh-release-status の役割です。

手順

workflows/overlay-cve-export.md を読み込みます。抽出の実行、Jira による情報補完、フラグのセットについて説明しています。

このワークフロー専用の参照資料が 2 つあり、必要に応じて読み込みます。

  • references/overlay-cve-csv-format.md — 正確なヘッダー、行のルール、Container 列、デフォルトの出力パス。
  • references/overlay-cve-sources.md — 対象となるワークスペースとコミット、CVE と Jira キーの抽出方法、--since の解決方法。

解析を再実装しない

scripts/compute-plugin-package-overlay-cve-list.mjs がコミットの選択、CVE の抽出、紐付け、重複排除、CSV の形式を管理します。このスクリプトを実行してください。オーバーレイのリポジトリを手作業で読み、チャット内で行を組み立てると、CVE プロセスで照合されるエクスポートとは異なる結果になります。

このスクリプトが Jira を呼び出すことはありません。情報補完は別の工程です。課題のフィールドを取得するために /rhdh-jira-api を呼び出し、その内容を JSON ファイルに書き込み、--apply-enrich で渡してください。

書き込みのルール

抽出処理ではクローンと読み取りのみを行います。情報補完用の JSON と最終的な CSV の書き込みでは、ユーザーのディスクにファイルが作成されるため、保存先を伝え、書き込みを行う実行の前に同意を得てください。CSV をリポジトリにコミットしたり、どこかに投稿したりしてはいけません。

完了条件

CSV のパスを明示し、行数を伝え、指定されたバージョン文字列ではなく、スクリプトが実際に解決した --since のリビジョンを報告したら完了です。Jira の課題がない各 CVE については、その代わりとなるオーバーレイのコミット URL を記載します。CVSS は ProdSec の CVSS フィールドから提供された場合にのみ表示します。CVSS 列が空欄なのが正しい出力であり、推測で値を埋めてはいけません。--jql フィルターによって除外された行数を数え、結果が空なのか、フィルターで除外されたのかをユーザーが判断できるようにします。認証情報や OAuth シークレットは、どの出力にも含めません。

コメント

Markdown 対応