Tredjepartsmerknader for runner-imaget

Det hostede runner-imaget, runner-VM-imaget det er bakt inn i, fremforges utviklingsbencher og fremforges skannere inneholder programvare og data fra tredjeparter. Merknadene nedenfor gjelder for hver av dem. Denne siden gir merknadene som lisensene krever, krediteringen for dataene og hvor du får kildekoden til komponentene der lisensen krever det.

Imaget inneholder også selve lisensfilene:

• /usr/share/licenses/<component>/ for Node.js, SAST-reglene og opengrep;
• /usr/share/doc/<package>/copyright for hver Debian-pakke;
• ved siden av hver modul, for modulene som følger med Node.js og npm.

Den komplette komponentlisten for hvert image-bygg er CycloneDX-SBOM-en for bygget; se Image-størrelse, kaldstart, gjenoppbyggingsfrekvens.

opengrep

opengrep ligger på /usr/local/bin/opengrep i runner-imaget, i runner-VM-imaget og på utviklingsbencher. Opphavsrett opengrep-forfatterne og Semgrep, Inc. Lisensiert under GNU Lesser General Public License, versjon 2.1: fullstendig tekst.

fremforge leverer den binære release-filen fra upstream uendret. Kjør opengrep --version i en jobb for å se versjonen i imaget du bruker (1.22.0 per 2026-10-26).

Kildekode. Den komplette tilhørende kildekoden for hver opengrep-versjon fremforge leverer (runner-image, runner-VM-image, bencher), er tilgjengelig fra fremforges speil av upstream-repositoryet på frem.sh/opengrep/opengrep, under release-taggen for den versjonen (for eksempel v1.22.0). Speilet kan leses av alle innloggede brukere på frem.sh.

Skriftlig tilbud. I minst tre år etter at vi sist leverte en gitt opengrep-versjon, gir fremverk ApS alle som ber om det, en kopi av den komplette tilhørende kildekoden for den versjonen, på et medium som vanligvis brukes til utveksling av programvare, for ikke mer enn det det koster oss å utføre distribusjonen fysisk. Skriv til support@frem.sh og oppgi versjonen.

SAST-regler

Runner-imaget leverer språkmappene fra GitLab sast-rules under /opt/sast-rules/. fremforges sentrale SAST-skanner bruker de samme mappene.

• GitLab sast-rules: Copyright (c) GitLab Inc. MIT-lisens; teksten ligger på /opt/sast-rules/LICENSE og /usr/share/licenses/sast-rules/LICENSE i imaget.
• gosec: reglene i /opt/sast-rules/go er avledet fra gosec, Copyright (c) gosec-forfatterne, og er lisensiert under Apache License, Version 2.0: fullstendig tekst, også på /usr/share/licenses/sast-rules/go-gosec-Apache-2.0 i imaget.
• 0xdea semgrep-rules (bare den sentrale skanneren): Copyright (c) 2022 raptor (0xdea). MIT-lisens.

Node.js

Runnerens system-Node.js er Node.js, Copyright Node.js contributors. Den er lisensiert under MIT-lisensen. Node.js inneholder tredjepartskomponenter under egne lisenser, som er oppført i LICENSE-filen: på /usr/share/licenses/nodejs/LICENSE i imaget og i Node.js-repositoryet.

Skannere og verktøy for forsyningskjeden

MIT-lisensen: Permission is hereby granted, free of charge, to any person obtaining a copy of this software and associated documentation files (the “Software”), to deal in the Software without restriction, including without limitation the rights to use, copy, modify, merge, publish, distribute, sublicense, and/or sell copies of the Software, and to permit persons to whom the Software is furnished to do so, subject to the following conditions: The above copyright notice and this permission notice shall be included in all copies or substantial portions of the Software. THE SOFTWARE IS PROVIDED “AS IS”, WITHOUT WARRANTY OF ANY KIND, EXPRESS OR IMPLIED, INCLUDING BUT NOT LIMITED TO THE WARRANTIES OF MERCHANTABILITY, FITNESS FOR A PARTICULAR PURPOSE AND NONINFRINGEMENT. IN NO EVENT SHALL THE AUTHORS OR COPYRIGHT HOLDERS BE LIABLE FOR ANY CLAIM, DAMAGES OR OTHER LIABILITY, WHETHER IN AN ACTION OF CONTRACT, TORT OR OTHERWISE, ARISING FROM, OUT OF OR IN CONNECTION WITH THE SOFTWARE OR THE USE OR OTHER DEALINGS IN THE SOFTWARE.

Data om sårbarhetsvarsler

fremforges funn av sårbarheter og ondsinnede pakker bruker data om sårbarhetsvarsler fra kildene nedenfor, lisensiert under Creative Commons Attribution 4.0 International-lisensen (CC-BY-4.0). fremforge formaterer om og indekserer postene for å matche dem mot avhengighetene og imagene dine; vi endrer ikke hva de sier. Kildene går ikke god for fremforge.

• GitHub Advisory Database, GitHub, Inc.
• OSV, OSV.dev-bidragsyterne og databasene den samler.
• Go vulnerability database, the Go Authors.
• Red Hat security data, Red Hat, Inc.
• SUSE security data, SUSE LLC.
• Trivys sårbarhetsdatabaser (trivy-db, trivy-java-db), Aqua Security Software Ltd., setter sammen poster fra disse og andre kilder. Byggingen av databasene er Apache-2.0; postene fra GitHub Advisory Database, Red Hat og SUSE i dem er CC-BY-4.0 og kreditert over.

Dataene leveres som de er, uten garanti av noe slag. Poster i OSV og i Trivy-databasene beholder vilkårene til kilden de kommer fra.

Skadevaresignaturer

Skanningen etter skadevare bruker ClamAV med disse signaturkildene:

• YARA-Forge Core: regelpakker som YARA-Forge har satt sammen fra offentlige repositoryer med YARA-regler, der hver regel krediterer forfatterne sine i metadataene. Lisensiert under Detection Rule License 1.1.
• SaneSecurity-signaturer, brukt i henhold til SaneSecuritys vilkår.
• Linux Malware Detect-signaturer, R-fx Networks, GPLv2.