2021-7-7 主持人：魏刚

与会人：刘金刚，魏刚，颜小兵，郭晓琪，合规SIG-郑志鹏，麒麟软件-崔雷，麒麟软件-王悦良，麒麟软件-侯建，麒麟软件-史景颖，程鑫鑫，中科微澜-闫志全，中科微澜-张晨波，成坚，麒麟软件-韩楠，tian，李孟龙，麒麟软件-刘涛，孙立刚，统信-魏东

【会议议题】

1.漏洞感知工具进展 —— 闫志全

1) 数据跟踪时间点：从漏洞图谱数据源感知原始数据；

2) 数据入库时间点：原始数据经过提取和重构后进入漏洞图谱知识库的时间；

3) 数据过滤时间点：漏洞图谱知识库中的数据经过过滤后判断影响openEuler；

4) 数据推送时间点：最终推送到openEuler社区的时间。

漏洞感知受影响时间方案：根据过滤器过滤结果，判断是否影响openEuler，如果影响，则已数据跟踪时间点作为受影响时间。计划下周开始为库中已有数据记录增加相应字段。

遗留问题：cve-manager需要开始考虑进行相应的调整 -- 颜小兵

2.社区漏洞处理进展 —— 魏刚

1) 漏洞感知: 6/23~7/7两周新增漏洞27个，其中24个源自感知工具，占比 89%

2) 漏洞修复：

本月(6/20至7/7)：共推送34个CVE，已解决 24个，其中个16已发布。共解决CVE77个，共发布CVE91个，SA35个。

当前还有151个漏洞未修复，其中7分以上漏洞81个。当前挂起状态的漏洞202个，其中7分以上漏洞84个。

需要继续向漏洞处理设定目标（9分以上7天，7分以上14天，其他30天）努力。

遗留任务：下次TC上通报漏洞处理现状 -- 刘金刚。

3.内核SIG申请更改内核CVE报告路径 —— 成坚

成坚：希望CVE的报告从构建仓库src-openeuler/kernel 迁移到openeuler/kernel源代码仓库，可以让issue的处理更及时，同时可以提高openeuler/kernel源代码仓库的活跃度。

刘金刚/魏刚：CVE报告直接迁移到openeuler/kernel下跟现有流程有较大冲突。建议考虑在现有流程基础上尝试创建后向源代码仓同步CVE，在源码仓处理后向制品仓issue反向同步。

遗留任务：后续跟cve-manager维护者讨论 -- 成坚、魏刚。

4.崔雷转为安全委员会正式成员，杨丽退出安全委员会。

5. 开源软件引入管理：形成开源软件引入规则，对于存在风险的软件采用黑名单管理。 —— 刘金刚

分类：

1）存在安全风险的开源软件：如有恶意代码的软件

2）存在专利侵权类的开源项目：如视频、音频、Office类软件，建议针对专利类的每个领域制定白名单

3）扫描类工具的引入和管理：如：TcpReply，ARP

遗留问题：

（1）创建仓库时不进行合规检查，将合规检查移到每一次代码合入的PR中，包括首次建仓的代码合入。

遗留问题：代码合入时合规检查要具有检查压缩包类文件的能力高琨、郑志鹏

（2）compliance SIG负责专利合规相关的包引入规则整理，重点分析视频、音频、office类开源软件高琨、郑志鹏

（3）安全委员会负责梳理存在引入开源软件安全风险识别规则，并给出扫描类软件引入和管理的指南刘金刚、朱建伟

6. 麒麟开始维护3个软件包的CVE处理流程

1) wget/lsof，韩楠/刘涛

2) UKUI问题由崔雷对接

3) cve-manage相关需求（已有CVE查询接口），源码仓提issue，线下讨论

下次安全委员会会议时间：7月21日，主持人：郭晓琪