CANN 社区 cve-manager 漏洞管理工具使用指南从漏洞 Issue 创建到闭环关闭的完整流程【免费下载链接】infrastructure本仓库用于托管CANN社区基础设施团队的公开信息包括不限于会议日程成员信息服务文档和配置等信息项目地址: https://gitcode.com/cann/infrastructureCANN 社区基础设施团队为社区开源仓库提供漏洞管理服务cve-manager当仓库依赖包暴露出已知 CVE 漏洞时工具会自动在仓库下创建跟踪 Issue并依赖开发者完成影响性分析后闭环关闭。本文基于 漏洞管理使用说明 展开结合 服务支撑矩阵 与仓库中的机器人配置完整讲解漏洞 Issue 的结构、分析评论模板、关闭条件、流程图解与误报处理策略帮助开发者高效、规范地完成漏洞 Issue 的全生命周期管理。一、服务定位与使用入口cve-manager 是 CANN 社区基础设施服务矩阵中的一项能力在 服务列表 中作为「漏洞管理服务」对外提供其使用指导入口即 docs/cve-manager/manual.md服务由基础设施团队支撑。开发者在使用过程中若遇到工具异常、规则配置等问题可通过服务矩阵联系对应支撑人咨询处理。该服务面向 CANN 相关的所有开源仓库工具周期性扫描仓库的依赖包清单一旦发现依赖组件存在已知漏洞即在该仓库下自动创建 Issue将安全风险以开发者最熟悉的方式Issue 跟踪暴露出来从而推动漏洞的确认、评估与修复闭环。二、漏洞 Issue 的自动创建机制2.1 Issue 标题以 CVE 编号命名漏洞 Issue 的标题直接采用漏洞的官方编号格式为CVE-年份-xxxxx例如CVE-2024-2961CVE-2025-13097采用 CVE 编号作为标题的好处是开发者可以快速在 NVD、CNVD 等公开漏洞库中检索到该漏洞的权威描述、受影响版本和修复建议同时便于工具、CI 和人工在评论区统一引用和追溯。2.2 Issue 内容固定模板的两种构成工具创建的漏洞 Issue 采用固定模板正文主要包含两部分漏洞信息由工具自动填充包含漏洞的编号、影响组件、漏洞描述等信息这部分是只读的客观事实开发者无需也建议不要修改。漏洞分析结果反馈区所有条目初始均为空值等待开发者根据当前仓库的实际情况逐项填写。这一设计将「工具的客观扫描结果」与「开发者的人工研判结论」分离既保证信息完整又避免工具结论被误改。2.3 相关支撑机制仓库根目录下的 config/bot-issue-manage.yaml 配置了社区机器人对 Issue 的自动化生命周期管理如resolved、stale、wait-feedback标签以及超时提醒/关闭策略与 cve-manager 的漏洞 Issue 跟踪机制相互配合共同保证社区 Issue 不会长期处于无人跟进状态。漏洞 Issue 本身的分析与关闭流程则由 cve-manager 独立管控详见下文。三、Issue 分析评论流程关闭漏洞 Issue 之前必须进行分析评论让工具明确知晓该漏洞对当前仓库各分支的实际影响情况。工具会在 Issue 创建后通过一条评论给出标准分析模板开发者只需在评论中按模板填写即可。3.1 评论模板影响性分析说明: 漏洞评分(xx社区评分): BaseScore: x.x(浮点格式) Vector: 受影响版本排查(受影响/不受影响): master:3.2 各字段填写要求模板中的每个部分都有明确的填写规则逐项说明如下字段填写要求影响性分析说明填写漏洞的描述说明该漏洞如何影响当前组件/系统。可以与工具给出的漏洞描述保持一致也可以在此基础上稍加补充如触发条件、受影响调用路径等。漏洞评分 BaseScore一般与系统给出的评分保持一致填写浮点格式如7.5。若开发者认为官方评分与实际情况不符可自行分析后给出自己的评分若系统尚未收集到该漏洞的评分数据开发者可直接评论从其他途径如 NVD、CNVD、厂商公告获取的数据。当有评论零值要求时BaseScore 填写0.0。漏洞评分 Vector填写漏洞的 CVSS 向量字符串如CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N一般与系统给出的一致同样支持开发者自行分析或引用其他途径的数据。当有评论零值要求时Vector 填写N/A。受影响版本排查版本名通常对应仓库的分支需要逐一排查每个分支是否受该漏洞影响填写内容为受影响或不受影响。分支名和分支数量由管理员配置开发者按实际存在的分支逐行填写即可。3.3 完整评论示例以下是一条结构完整、可直接参考的评论示例影响性分析说明: 该漏洞影响组件为apachekafkaclient触发条件与apachedruid有关。 经排查当前社区使用的均为alibabadruid而未apachedruid故不受影响。 漏洞评分(xx社区评分): BaseScore: 7.5 Vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N 受影响版本排查(受影响/不受影响): 1.master:不受影响该示例清晰展示了研判思路先说明影响组件与触发条件再结合仓库实际依赖情况给出结论最后按分支给出排查结果。3.4 评论的提交规则全员可评任何开发者都可以对漏洞 Issue 进行评论分析不限于仓库 Maintainer。一次性填写完整分析内容必须一次性填写完整若填写错误工具会给出提示评论如「请补充完整评论内容」需要修正后重新提交。重复分析覆盖重复分析会覆盖上一次分析的内容因此多次评论不会产生歧义工具始终以最新一次完整分析为准。结果回显分析通过后工具会以表格形式在评论区回显分析内容并同步修改 Issue 的描述将分析结论沉淀到 Issue 正文中方便后续参与者直接查阅。分析通过后的回显表格示例状态分析项目内容已分析影响性分析说明该漏洞影响组件为apachekafkaclient触发条件与apachedruid有关。经排查当前社区使用的均为alibabadruid而未apachedruid故不受影响。已分析BaseScore7.5已分析VectorCVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N已分析受影响的版本排查master:不受影响四、关闭 Issue 的条件与流程进行分析评论的根本目的是对「关闭漏洞 Issue」这一动作进行监督与约束。未分析或未成功分析的 Issue 无法被关闭从而避免漏洞在未经研判的情况下被草率关闭。4.1 关闭的两种场景分析完成后的 Issue 关闭分为两种情况所有分支均不受影响说明该漏洞对当前仓库不构成实际影响可直接关闭 Issue。存在受影响的分支此时该 Issue 必须关联目标分支为受影响分支的 PR且该 PR 必须为已合入状态才能关闭。受影响分支可能有一个或多个多个分支需要分别关联多个 PR。4.2 关闭流程详解关闭 Issue 需手动触发工具负责后续的自动检查。整个流程如下图所示流程的核心逻辑如下触发关闭开发者手动发起关闭 Issue 操作工具进入校验流程。校验一评论内容是否完整若评论内容不完整缺少影响性分析、评分或分支排查等条目工具会给出提示评论如「请补充完整评论内容」并执行重新打开 Issue操作流程结束。若评论内容完整进入下一步校验。校验二全部分支是否不受影响若全部分支均为「不受影响」工具为 Issue 打上UNAFFECTED标签并直接关闭流程结束。若存在受影响分支进入下一步校验。校验三所有受影响分支是否均有 PR 合入若每个受影响分支都已关联 PR 且 PR 为已合入状态工具为 Issue 打上FIXED标签并关闭流程结束。若仍有受影响分支未合入 PR工具执行重新打开 Issue流程结束。从流程图中可以清晰看到两条「重新打开」路径评论不完整、或修复未完成。这保证了漏洞 Issue 的关闭始终以「分析完整 无影响或已修复」为前提防止误关闭。4.3 实操建议先分析、再关联 PR建议开发者先完成影响性分析评论确认受影响分支后再提交并合入修复 PR最后再触发关闭避免校验不通过导致 Issue 被反复重新打开。多分支仓库若漏洞影响多个分支需为每个受影响分支分别提交 PR 并确保全部合入任一分支未修复都无法关闭。状态标签关闭后的 Issue 会被打上UNAFFECTED不受影响或FIXED已修复标签便于后续在 Issue 列表中快速识别漏洞处置结果。五、误报处理漏洞匹配过程中可能存在误报即工具扫描出的「漏洞」实际并不适用例如依赖组件与漏洞描述中的组件并非同一实现。对于这类 Issue可直接拒绝该漏洞的威胁认定。由于 GitCode 平台没有「拒绝」功能因此误报场景统一走不受影响的流程在分析评论中说明该漏洞为何不适用于当前仓库参考上文 3.3 的示例说明实际依赖与漏洞组件的差异将相关分支标记为「不受影响」即可合规地关闭 Issue。误报处理与正常「不受影响」关闭共用同一套流程无需特殊操作只需在影响性分析说明中给出充分的研判理由即可。六、小结cve-manager 漏洞管理服务通过「自动建单 → 人工分析 → 条件关闭」的机制将依赖漏洞的发现与处置纳入社区 Issue 的标准化流程工具扫描依赖发现漏洞即以 CVE 编号自动创建 Issue开发者按固定模板完成影响性分析评论影响说明、评分向量、分支排查工具回显并同步 Issue 描述手动触发关闭工具依次校验评论完整性、分支影响范围与 PR 合入状态最终以UNAFFECTED或FIXED标签完成闭环误报场景通过「不受影响」流程处置。整个流程对开发者透明、可追溯既保证了漏洞信息的完整性又通过「先分析后关闭」的约束避免了漏洞被草率处理。如需进一步了解 CANN 社区其他基础设施服务CLA、机器人、CI、会议等可参阅 服务列表关于社区 Issue 的自动化生命周期管理配置可参考 config/bot-issue-manage.yaml。【免费下载链接】infrastructure本仓库用于托管CANN社区基础设施团队的公开信息包括不限于会议日程成员信息服务文档和配置等信息项目地址: https://gitcode.com/cann/infrastructure创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考