Mentions tierces de l’image de runner

L’image de runner hébergé, l’image VM du runner dans laquelle elle est intégrée, les bancs de développement fremforge et les scanners de fremforge contiennent des logiciels et des données tiers. Les mentions ci-dessous s’appliquent à chacun d’eux. Cette page reproduit les mentions qu’exigent leurs licences, l’attribution des données, et indique où obtenir le code source des composants dont la licence l’exige.

L’image contient elle aussi les fichiers de licence :

• /usr/share/licenses/<component>/ pour Node.js, les règles SAST et opengrep ;
• /usr/share/doc/<package>/copyright pour chaque paquet Debian ;
• à côté de chaque module, pour les modules fournis avec Node.js et npm.

La liste complète des composants de chaque build de l’image est son SBOM CycloneDX ; consultez Taille de l’image, démarrage à froid, cadence de reconstruction.

opengrep

opengrep se trouve dans /usr/local/bin/opengrep dans l’image de runner, dans l’image VM du runner et sur les bancs de développement. Copyright les auteurs d’opengrep et Semgrep, Inc. Il est distribué sous la GNU Lesser General Public License, version 2.1 : texte intégral.

fremforge livre le binaire de la version amont sans modification. Exécutez opengrep --version dans un job pour connaître la version présente dans votre image (1.22.0 au 2026-10-26).

Code source. Le code source correspondant complet de chaque version d’opengrep livrée par fremforge (image de runner, image VM du runner, bancs) est disponible depuis le miroir du dépôt amont tenu par fremforge, à l’adresse frem.sh/opengrep/opengrep, sous le tag de version correspondant (par exemple v1.22.0). Le miroir est lisible par tout utilisateur connecté à frem.sh.

Offre écrite. Pendant au moins trois ans après la dernière livraison d’une version donnée d’opengrep, fremverk ApS fournira à quiconque en fait la demande une copie du code source correspondant complet de cette version, sur un support couramment utilisé pour l’échange de logiciels, pour un prix ne dépassant pas le coût que représente pour nous la réalisation matérielle de cette distribution. Écrivez à support@frem.sh en précisant la version.

Règles SAST

L’image de runner contient les dossiers par langage des GitLab sast-rules sous /opt/sast-rules/. Le scanner SAST central de fremforge utilise les mêmes dossiers.

• GitLab sast-rules : Copyright (c) GitLab Inc. Licence MIT ; le texte se trouve dans /opt/sast-rules/LICENSE et /usr/share/licenses/sast-rules/LICENSE dans l’image.
• gosec : les règles de /opt/sast-rules/go sont dérivées de gosec, Copyright (c) les auteurs de gosec, et sont distribuées sous l’Apache License, Version 2.0 : texte intégral, également dans /usr/share/licenses/sast-rules/go-gosec-Apache-2.0 dans l’image.
• 0xdea semgrep-rules (scanner central uniquement) : Copyright (c) 2022 raptor (0xdea). Licence MIT.

Node.js

Le Node.js système du runner est Node.js, Copyright les contributeurs de Node.js. Il est distribué sous licence MIT. Node.js inclut des composants tiers sous leurs propres licences, énumérés dans son fichier LICENSE : dans /usr/share/licenses/nodejs/LICENSE dans l’image et dans le dépôt de Node.js.

Scanners et outils de chaîne d’approvisionnement

La licence MIT : Permission is hereby granted, free of charge, to any person obtaining a copy of this software and associated documentation files (the “Software”), to deal in the Software without restriction, including without limitation the rights to use, copy, modify, merge, publish, distribute, sublicense, and/or sell copies of the Software, and to permit persons to whom the Software is furnished to do so, subject to the following conditions: The above copyright notice and this permission notice shall be included in all copies or substantial portions of the Software. THE SOFTWARE IS PROVIDED “AS IS”, WITHOUT WARRANTY OF ANY KIND, EXPRESS OR IMPLIED, INCLUDING BUT NOT LIMITED TO THE WARRANTIES OF MERCHANTABILITY, FITNESS FOR A PARTICULAR PURPOSE AND NONINFRINGEMENT. IN NO EVENT SHALL THE AUTHORS OR COPYRIGHT HOLDERS BE LIABLE FOR ANY CLAIM, DAMAGES OR OTHER LIABILITY, WHETHER IN AN ACTION OF CONTRACT, TORT OR OTHERWISE, ARISING FROM, OUT OF OR IN CONNECTION WITH THE SOFTWARE OR THE USE OR OTHER DEALINGS IN THE SOFTWARE.

Données d’avis de sécurité

Les résultats de fremforge sur les vulnérabilités et les paquets malveillants s’appuient sur des données d’avis de sécurité issues des sources ci-dessous, distribuées sous la licence Creative Commons Attribution 4.0 International (CC-BY-4.0). fremforge reformate et indexe les enregistrements afin de les confronter à vos dépendances et à vos images ; il ne modifie pas ce qu’ils disent. Ces sources ne cautionnent pas fremforge.

• GitHub Advisory Database, GitHub, Inc.
• OSV, les contributeurs d’OSV.dev et les bases de données qu’il agrège.
• Go vulnerability database, les auteurs de Go.
• Données de sécurité de Red Hat, Red Hat, Inc.
• Données de sécurité de SUSE, SUSE LLC.
• Les bases de vulnérabilités de Trivy (trivy-db, trivy-java-db), Aqua Security Software Ltd., compilent des enregistrements provenant de ces sources et d’autres. La construction de la base est sous Apache-2.0 ; les enregistrements de GitHub Advisory Database, de Red Hat et de SUSE qu’elle contient sont sous CC-BY-4.0 et crédités ci-dessus.

Les données sont fournies en l’état, sans garantie d’aucune sorte. Les enregistrements d’OSV et des bases Trivy conservent les conditions de la source dont ils proviennent.

Signatures de malwares

L’analyse antimalware utilise ClamAV avec les sources de signatures suivantes :

• YARA-Forge Core : paquets de règles compilés par YARA-Forge à partir de dépôts publics de règles YARA, chaque règle étant créditée à ses auteurs dans ses métadonnées. Distribués sous la Detection Rule License 1.1.
• Signatures SaneSecurity, utilisées selon les conditions de SaneSecurity.
• Signatures Linux Malware Detect, R-fx Networks, GPLv2.