Hinweise zu Drittanbieter-Komponenten im Runner-Image

Das gehostete Runner-Image, das Runner-VM-Image, in das es eingebacken wird, die Entwicklungs-Benches von fremforge und die Scanner von fremforge enthalten Software und Daten von Drittanbietern. Die folgenden Hinweise gelten für jedes davon. Diese Seite enthält die Hinweise, die deren Lizenzen verlangen, die Namensnennung für die Daten und die Angabe, wo du den Quellcode der Komponenten bekommst, deren Lizenzen das verlangen.

Das Image enthält die Lizenzdateien auch selbst:

• /usr/share/licenses/<component>/ für Node.js, die SAST-Regeln und opengrep;
• /usr/share/doc/<package>/copyright für jedes Debian-Paket;
• neben jedem Modul, für die mit Node.js und npm gebündelten Module.

Die vollständige Komponentenliste jedes Image-Builds ist dessen CycloneDX-SBOM; siehe Image-Größe, Kaltstart, Rebuild-Rhythmus.

opengrep

opengrep liegt unter /usr/local/bin/opengrep im Runner-Image, im Runner-VM-Image und auf Entwicklungs-Benches. Copyright the opengrep authors and Semgrep, Inc. Es steht unter der GNU Lesser General Public License, Version 2.1: vollständiger Text.

fremforge liefert das unveränderte Release-Binary von upstream aus. Führe opengrep --version in einem Job aus, um die Version im jeweiligen Image zu sehen (1.22.0 am 26.10.2026).

Quellcode. Der vollständige zugehörige Quellcode jeder opengrep-Version, die fremforge ausliefert (Runner-Image, Runner-VM-Image, Benches), ist über den fremforge-Mirror des Upstream-Repositorys unter frem.sh/opengrep/opengrep erhältlich, unter dem Release-Tag der jeweiligen Version (zum Beispiel v1.22.0). Jede angemeldete frem.sh-Nutzerin und jeder angemeldete frem.sh-Nutzer kann den Mirror lesen.

Schriftliches Angebot. Mindestens drei Jahre lang, nachdem wir eine bestimmte opengrep-Version zuletzt ausgeliefert haben, stellt die fremverk ApS jeder anfragenden Person eine Kopie des vollständigen zugehörigen Quellcodes dieser Version zur Verfügung, auf einem für den Austausch von Software üblichen Datenträger und zu höchstens den Kosten, die uns die physische Durchführung der Weitergabe verursacht. Schreib an support@frem.sh und nenne die Version.

SAST-Regeln

Das Runner-Image enthält die Sprachordner der GitLab sast-rules unter /opt/sast-rules/. Der zentrale SAST-Scanner von fremforge nutzt dieselben Ordner.

• GitLab sast-rules: Copyright (c) GitLab Inc. MIT-Lizenz; der Text liegt im Image unter /opt/sast-rules/LICENSE und /usr/share/licenses/sast-rules/LICENSE.
• gosec: Die Regeln in /opt/sast-rules/go sind von gosec abgeleitet, Copyright (c) the gosec authors, und stehen unter der Apache License, Version 2.0: vollständiger Text, im Image außerdem unter /usr/share/licenses/sast-rules/go-gosec-Apache-2.0.
• 0xdea semgrep-rules (nur zentraler Scanner): Copyright (c) 2022 raptor (0xdea). MIT-Lizenz.

Node.js

Das System-Node.js des Runners ist Node.js, Copyright Node.js contributors. Es steht unter der MIT-Lizenz. Node.js enthält Komponenten von Drittanbietern unter deren eigenen Lizenzen, die in seiner LICENSE-Datei aufgeführt sind: im Image unter /usr/share/licenses/nodejs/LICENSE und im Node.js-Repository.

Scanner und Supply-Chain-Werkzeuge

Die MIT-Lizenz: Permission is hereby granted, free of charge, to any person obtaining a copy of this software and associated documentation files (the “Software”), to deal in the Software without restriction, including without limitation the rights to use, copy, modify, merge, publish, distribute, sublicense, and/or sell copies of the Software, and to permit persons to whom the Software is furnished to do so, subject to the following conditions: The above copyright notice and this permission notice shall be included in all copies or substantial portions of the Software. THE SOFTWARE IS PROVIDED “AS IS”, WITHOUT WARRANTY OF ANY KIND, EXPRESS OR IMPLIED, INCLUDING BUT NOT LIMITED TO THE WARRANTIES OF MERCHANTABILITY, FITNESS FOR A PARTICULAR PURPOSE AND NONINFRINGEMENT. IN NO EVENT SHALL THE AUTHORS OR COPYRIGHT HOLDERS BE LIABLE FOR ANY CLAIM, DAMAGES OR OTHER LIABILITY, WHETHER IN AN ACTION OF CONTRACT, TORT OR OTHERWISE, ARISING FROM, OUT OF OR IN CONNECTION WITH THE SOFTWARE OR THE USE OR OTHER DEALINGS IN THE SOFTWARE.

Advisory-Daten

Die Befunde von fremforge zu Schwachstellen und schädlichen Paketen nutzen Advisory-Daten aus den unten genannten Quellen, lizenziert unter der Creative Commons Attribution 4.0 International (CC-BY-4.0). fremforge formatiert und indexiert die Einträge neu, um sie mit deinen Abhängigkeiten und Images abzugleichen; was sie aussagen, ändert fremforge nicht. Die Quellen unterstützen fremforge nicht und empfehlen es nicht.

• GitHub Advisory Database, GitHub, Inc.
• OSV, die OSV.dev-Mitwirkenden und die Datenbanken, die es zusammenführt.
• Go vulnerability database, the Go Authors.
• Red Hat security data, Red Hat, Inc.
• SUSE security data, SUSE LLC.
• Die Trivy-Schwachstellendatenbanken (trivy-db, trivy-java-db), Aqua Security Software Ltd., stellen Einträge aus diesen und weiteren Quellen zusammen. Der Datenbank-Build steht unter Apache-2.0; die Einträge der GitHub Advisory Database, von Red Hat und von SUSE darin stehen unter CC-BY-4.0 und sind oben genannt.

Die Daten werden ohne Mängelgewähr und ohne jegliche Garantie bereitgestellt. Einträge in OSV und in den Trivy-Datenbanken behalten die Bedingungen der Quelle, aus der sie stammen.

Malware-Signaturen

Der Malware-Scan nutzt ClamAV mit diesen Signaturquellen:

• YARA-Forge Core: Regelpakete, die YARA-Forge aus öffentlichen YARA-Regel-Repositorys zusammenstellt; jede Regel nennt ihre Autorinnen und Autoren in ihren Metadaten. Lizenziert unter der Detection Rule License 1.1.
• SaneSecurity-Signaturen, genutzt zu den Bedingungen von SaneSecurity.
• Linux Malware Detect-Signaturen, R-fx Networks, GPLv2.