Vermeldingen van derden in de runner-image
De gehoste runner-image, de runner-VM-image waarin die is ingebakken, de ontwikkelbenches van fremforge en de scanners van fremforge bevatten software en gegevens van derden. De vermeldingen hieronder gelden voor elk daarvan. Deze pagina geeft de vermeldingen die hun licenties vereisen, de naamsvermelding voor de gegevens, en waar je de broncode krijgt van de onderdelen waarvan de licentie dat vereist.
De image bevat de licentiebestanden ook zelf:
/usr/share/licenses/<component>/voor Node.js, de SAST-regels en opengrep;/usr/share/doc/<package>/copyrightvoor elk Debian-pakket;- naast elke module, voor de modules die met Node.js en npm worden meegeleverd.
De volledige lijst met onderdelen van elke build van de image is de CycloneDX-SBOM ervan; zie Grootte van de image, koude start, herbouwritme.
opengrep
opengrep staat op /usr/local/bin/opengrep in de runner-image, de runner-VM-image en op ontwikkelbenches. Copyright de auteurs van opengrep en Semgrep, Inc. Het valt onder de GNU Lesser General Public License, versie 2.1: volledige tekst.
fremforge levert het releasebinary van upstream ongewijzigd mee. Voer opengrep --version uit in een job om de versie te zien in de image waarop je draait (1.22.0 op 2026-10-26).
Broncode. De volledige bijbehorende broncode van elke opengrep-versie die fremforge meelevert (runner-image, runner-VM-image, benches) is beschikbaar via de mirror van fremforge van de upstream-repository, op frem.sh/opengrep/opengrep, onder de releasetag van die versie (bijvoorbeeld v1.22.0). De mirror is leesbaar voor elke ingelogde gebruiker van frem.sh.
Schriftelijk aanbod. Gedurende ten minste drie jaar nadat we een bepaalde opengrep-versie voor het laatst hebben meegeleverd, geeft fremverk ApS iedereen die erom vraagt een kopie van de volledige bijbehorende broncode van die versie, op een medium dat gebruikelijk is voor de uitwisseling van software, voor niet meer dan onze kosten van het fysiek uitvoeren van de verspreiding. Schrijf naar support@frem.sh en noem de versie.
SAST-regels
De runner-image bevat de taalmappen van GitLab sast-rules onder /opt/sast-rules/. De centrale SAST-scanner van fremforge gebruikt dezelfde mappen.
- GitLab sast-rules: Copyright (c) GitLab Inc. MIT-licentie; de tekst staat in de image op
/opt/sast-rules/LICENSEen/usr/share/licenses/sast-rules/LICENSE. - gosec: de regels in
/opt/sast-rules/gozijn afgeleid van gosec, Copyright (c) de auteurs van gosec, en vallen onder de Apache License, Version 2.0: volledige tekst, in de image ook op/usr/share/licenses/sast-rules/go-gosec-Apache-2.0. - 0xdea semgrep-rules (alleen de centrale scanner): Copyright (c) 2022 raptor (0xdea). MIT-licentie.
Node.js
De systeem-Node.js van de runner is Node.js, Copyright de bijdragers aan Node.js. Het valt onder de MIT-licentie. Node.js bevat onderdelen van derden onder hun eigen licenties, die in het LICENSE-bestand worden opgesomd: in de image op /usr/share/licenses/nodejs/LICENSE en in de Node.js-repository.
Scanners en tools voor de toeleveringsketen
| Onderdeel | Copyright | Licentie |
|---|---|---|
| Trivy | Aqua Security Software Ltd. en bijdragers | Apache-2.0 |
| osv-scanner | Google LLC en bijdragers | Apache-2.0 |
| Syft | Anchore, Inc. en bijdragers | Apache-2.0 |
| cosign | De auteurs van Sigstore | Apache-2.0 |
| Scorecard | De auteurs van OpenSSF Scorecard | Apache-2.0 |
| kaniko | Google LLC en bijdragers | Apache-2.0 |
| Gitleaks | Copyright (c) 2019 Zachary Rice | MIT |
De MIT-licentie (originele tekst): Permission is hereby granted, free of charge, to any person obtaining a copy of this software and associated documentation files (the “Software”), to deal in the Software without restriction, including without limitation the rights to use, copy, modify, merge, publish, distribute, sublicense, and/or sell copies of the Software, and to permit persons to whom the Software is furnished to do so, subject to the following conditions: The above copyright notice and this permission notice shall be included in all copies or substantial portions of the Software. THE SOFTWARE IS PROVIDED “AS IS”, WITHOUT WARRANTY OF ANY KIND, EXPRESS OR IMPLIED, INCLUDING BUT NOT LIMITED TO THE WARRANTIES OF MERCHANTABILITY, FITNESS FOR A PARTICULAR PURPOSE AND NONINFRINGEMENT. IN NO EVENT SHALL THE AUTHORS OR COPYRIGHT HOLDERS BE LIABLE FOR ANY CLAIM, DAMAGES OR OTHER LIABILITY, WHETHER IN AN ACTION OF CONTRACT, TORT OR OTHERWISE, ARISING FROM, OUT OF OR IN CONNECTION WITH THE SOFTWARE OR THE USE OR OTHER DEALINGS IN THE SOFTWARE.
Advisorygegevens
De bevindingen van fremforge over kwetsbaarheden en kwaadaardige pakketten gebruiken advisorygegevens uit de onderstaande bronnen, die vallen onder de Creative Commons Naamsvermelding 4.0 Internationaal-licentie (CC-BY-4.0). fremforge herformatteert en indexeert de records om ze met je dependencies en images te vergelijken; het verandert niet wat erin staat. De bronnen onderschrijven fremforge niet.
- GitHub Advisory Database, GitHub, Inc.
- OSV, de bijdragers aan OSV.dev en de databases die het samenbrengt.
- Go vulnerability database, the Go Authors.
- Red Hat security data, Red Hat, Inc.
- SUSE security data, SUSE LLC.
- De Trivy-kwetsbaarheidsdatabases (
trivy-db,trivy-java-db), Aqua Security Software Ltd., verzamelen records uit deze en andere bronnen. De build van de database valt onder Apache-2.0; de records van de GitHub Advisory Database, Red Hat en SUSE daarin vallen onder CC-BY-4.0 en zijn hierboven vermeld.
De gegevens worden geleverd zoals ze zijn, zonder enige garantie. Records in OSV en in de Trivy-databases behouden de voorwaarden van de bron waaruit ze komen.
Malwaresignaturen
De malwarescan gebruikt ClamAV met deze bronnen voor signaturen:
- YARA-Forge Core: regelpakketten die YARA-Forge samenstelt uit publieke repository’s met YARA-regels, waarbij elke regel in zijn metadata de auteurs vermeldt. Valt onder de Detection Rule License 1.1.
- Signaturen van SaneSecurity, gebruikt onder de voorwaarden van SaneSecurity.
- Signaturen van Linux Malware Detect, R-fx Networks, GPLv2.