Fähigkeiten sca-blackduck
📦
sca-blackduck
v0.1.0 Inhaltsrevision r2 Kritisch 📁 Dateisystemzugriff⚙️ Externe Befehle🌐 Netzwerkzugriff🔑 Umgebungsvariablen⚡ Enthält Skripte
Abhängigkeiten mit Black Duck scannen
Risiken durch Open-Source-Abhängigkeiten können sichere Releases verlangsamen. Dieser Skill unterstützt bei Black Duck-Scans, Lizenzprüfung, SBOM-Erstellung, CI-Integration und Planung der Behebung.
Unterstützt: Claude Codex Code(CC)
Diesen Skill nicht automatisch installieren.
Die maßgebliche Richtlinie verlangt vor jeder Installationsaktion eine Prüfung durch einen Bediener.
Mit meinem Agent installieren
Kopieren Sie diese Anfrage in Ihren Agent. Sie enthält die maßgebliche Skill-Seite und das Manifest.
Agent-Anfrage
Review the Skillstore skill "sca-blackduck" from https://skillstore.io/skills/agentsecops-sca-blackduck.md and its manifest at https://skillstore.io/api/skills/agentsecops-sca-blackduck/manifest. Verify the artifact. Do not auto-install. Inspect the skill and report your findings, then wait for an operator or manual installation decision.Ihr Agent sollte weiterhin seinen Plan anzeigen und alle von der Sicherheitsrichtlinie verlangten Bestätigungen anfordern.
Agent-lesbare Ressourcen
Verwenden Sie diese Links, wenn ein KI-Agent, Crawler oder Skript sauberen Kontext benötigt, statt die vollständige Seite zu lesen.
Testen
„sca-blackduck“ wird verwendet. Ein Service hat kritische CVEs, ein unbekanntes Lizenzrisiko und keinen SBOM-Prozess.
Erwartetes Ergebnis:
- Priorisierte Schwachstellenliste mit unmittelbaren Korrekturen zuerst.
- Lizenzprüfungswarteschlange für rechtliche oder richtlinienbezogene Freigabe.
- SBOM-Erstellungsplan für Release-Nachweise.
- Kriterien für Folge-Scans zur Bestätigung des Abschlusses.
„sca-blackduck“ wird verwendet. Ein Team möchte Black Duck-Prüfungen in Pull Requests.
Erwartetes Ergebnis:
- CI-Job-Entwurf mit sicheren Secret-Referenzen.
- Richtlinienschwellenwerte zum Blockieren riskanter Änderungen.
- Empfehlungen zur Aufbewahrung von Artefakten und Reports.
- Format für Entwicklerkommentare zur umsetzbaren Triage.
„sca-blackduck“ wird verwendet. Ein Produkt-Release enthält neue Open-Source-Komponenten.
Erwartetes Ergebnis:
- Prüfschritte für das Abhängigkeitsinventar.
- Hinweise zur Lizenzkompatibilität für Hochrisikopakete.
- Supply-Chain-Integritätsprüfungen für Maintainer und Aktivität.
Sicherheitsaudit
Kritischv9 • 23.7.2026 Versionsbericht öffnen
Most static alerts are false positives caused by Markdown examples, reference URLs, configuration exclusions, and legitimate environment access. Confirmed findings involve unverified remote scripts executed by CI templates and user instructions. Additional review found mutable GitHub Action tags, unsafe Jenkins interpolation, and a pull request comment that reports fixed zero findings.
15
Gescannte Dateien
4,881
Analysierte Zeilen
13
Prüfelemente
0
Falschmeldungen ignoriert
Bestätigte Sicherheitsbedenken (5)
Kritisch
Pipe to shell pattern
curl -s -L https://detect.synopsys.com/detect.sh | bash -- \
The CI template pipes a mutable network response directly into Bash without a pinned version or integrity check. A compromised upstream response would execute with runner privileges.
Kritisch
Pipe to shell pattern
curl -s https://raw.githubusercontent.com/aquasecurity/tfsec/master/scripts/install_linux.sh | bash
The CI template pipes a mutable network response directly into Bash without a pinned version or integrity check. A compromised upstream response would execute with runner privileges.
Hoch
Misleading fixed security results
The GitHub workflow posts zero vulnerability counts and no license violations without parsing results, which can mislead reviewers.
The comment body contains fixed zero counts and an unconditional no-violations statement. Nearby comments acknowledge that actual results are not parsed.
Hoch
assets/ci_integration/jenkins_pipeline.groovy:32-34assets/ci_integration/jenkins_pipeline.groovy:89-99assets/ci_integration/jenkins_pipeline.groovy:142-151
Jenkins shell injection and secret exposure
Groovy interpolates branch-derived values and Black Duck credentials into shell strings before execution, enabling command injection and exposing secrets in process arguments.
The double-quoted Groovy strings interpolate BRANCH_NAME-derived project data and BLACKDUCK_TOKEN into commands later passed to sh. No argument-safe execution boundary is used.
Mittel
assets/ci_integration/github_actions.yml:31assets/ci_integration/github_actions.yml:39assets/ci_integration/github_actions.yml:57assets/ci_integration/github_actions.yml:81assets/ci_integration/github_actions.yml:101assets/ci_integration/github_actions.yml:143assets/ci_integration/github_actions.yml:148
Mutable GitHub Action references
GitHub Actions use mutable major-version tags, allowing upstream changes to execute with repository and token permissions.
Each uses statement ends in a mutable tag such as v1, v3, v4, or v7 rather than an immutable commit SHA.
Elemente der Fähigkeitsprüfung (13)
Dies sind echte lokale Fähigkeiten, die für diese Fähigkeit erwartet werden können; daher müssen sie überprüft werden, werden jedoch nicht als bestätigtes bösartiges Verhalten gezählt.
Hoch
Hardcoded URL
curl -s -L https://detect.synopsys.com/detect.sh | bash -- \
This URL supplies a script that is executed immediately without version pinning or integrity verification. A compromised response would execute with CI or user privileges.
Hoch
Hardcoded URL
bash <(curl -s -L https://detect.synopsys.com/detect.sh) \
This URL supplies a script that is executed immediately without version pinning or integrity verification. A compromised response would execute with CI or user privileges.
Hoch
Hardcoded URL
bash <(curl -s -L https://detect.synopsys.com/detect.sh) \
This URL supplies a script that is executed immediately without version pinning or integrity verification. A compromised response would execute with CI or user privileges.
Hoch
Hardcoded URL
bash <(curl -s -L https://detect.synopsys.com/detect.sh) \
This URL supplies a script that is executed immediately without version pinning or integrity verification. A compromised response would execute with CI or user privileges.
Hoch
Hardcoded URL
bash <(curl -s -L https://detect.synopsys.com/detect.sh) \
This URL supplies a script that is executed immediately without version pinning or integrity verification. A compromised response would execute with CI or user privileges.
Hoch
Hardcoded URL
bash <(curl -s -L https://detect.synopsys.com/detect.sh) \
This URL supplies a script that is executed immediately without version pinning or integrity verification. A compromised response would execute with CI or user privileges.
Hoch
Hardcoded URL
curl -s https://raw.githubusercontent.com/aquasecurity/tfsec/master/scripts/install_linux.sh | bash
This URL supplies a script that is executed immediately without version pinning or integrity verification. A compromised response would execute with CI or user privileges.
Hoch
Hardcoded URL
bash <(curl -s -L https://detect.synopsys.com/detect.sh) \
This URL supplies a script that is executed immediately without version pinning or integrity verification. A compromised response would execute with CI or user privileges.
Hoch
Hardcoded URL
bash <(curl -s -L https://detect.synopsys.com/detect.sh) \
This URL supplies a script that is executed immediately without version pinning or integrity verification. A compromised response would execute with CI or user privileges.
Hoch
Hardcoded URL
bash <(curl -s -L https://detect.synopsys.com/detect.sh) \
This URL supplies a script that is executed immediately without version pinning or integrity verification. A compromised response would execute with CI or user privileges.
Hoch
Hardcoded URL
bash <(curl -s -L https://detect.synopsys.com/detect.sh) \
This URL supplies a script that is executed immediately without version pinning or integrity verification. A compromised response would execute with CI or user privileges.
Hoch
Hardcoded URL
bash <(curl -s -L https://detect.synopsys.com/detect.sh) \
This URL supplies a script that is executed immediately without version pinning or integrity verification. A compromised response would execute with CI or user privileges.
Hoch
Hardcoded URL
bash <(curl -s -L https://detect.synopsys.com/detect.sh) \
This URL supplies a script that is executed immediately without version pinning or integrity verification. A compromised response would execute with CI or user privileges.
Risikofaktoren
📁 Dateisystemzugriff (6)
⚙️ Externe Befehle (50)
assets/ci_integration/github_actions.yml:110 assets/ci_integration/github_actions.yml:111 assets/ci_integration/github_actions.yml:92 assets/ci_integration/gitlab_ci.yml:121 assets/ci_integration/gitlab_ci.yml:151 assets/ci-config-template.yml:298 assets/ci-config-template.yml:301 assets/ci-config-template.yml:304 assets/ci-config-template.yml:307 assets/ci-config-template.yml:310 assets/ci-config-template.yml:134 assets/ci-config-template.yml:250 assets/ci-config-template.yml:291 references/supply_chain_threats.md:199 references/supply_chain_threats.md:204 references/supply_chain_threats.md:205 references/supply_chain_threats.md:200 references/supply_chain_threats.md:532 references/supply_chain_threats.md:205 references/supply_chain_threats.md:286 references/supply_chain_threats.md:335 references/supply_chain_threats.md:513 SKILL.md:40-47 SKILL.md:47-51 SKILL.md:51-57 SKILL.md:57-65 SKILL.md:65-79 SKILL.md:79-97 SKILL.md:97-151 SKILL.md:151-152 SKILL.md:152-153 SKILL.md:153-154 SKILL.md:154-158 SKILL.md:158-159 SKILL.md:159-160 SKILL.md:160-161 SKILL.md:161-165 SKILL.md:165-166 SKILL.md:166-167 SKILL.md:167-168 SKILL.md:168-169 SKILL.md:169-175 SKILL.md:175-183 SKILL.md:183-187 SKILL.md:187-194 SKILL.md:194-198 SKILL.md:198-205 SKILL.md:205-209 SKILL.md:209-216 SKILL.md:216-220
🌐 Netzwerkzugriff (50)
assets/ci_integration/github_actions.yml:70 assets/ci_integration/gitlab_ci.yml:30 assets/ci_integration/gitlab_ci.yml:85 assets/ci_integration/gitlab_ci.yml:181 assets/ci_integration/jenkins_pipeline.groovy:90 assets/ci_integration/jenkins_pipeline.groovy:143 assets/ci-config-template.yml:240 assets/policy_templates/security_policy.json:2 assets/rule-template.yaml:43 assets/rule-template.yaml:44 assets/rule-template.yaml:45 assets/rule-template.yaml:73 assets/rule-template.yaml:118 assets/rule-template.yaml:119 assets/rule-template.yaml:151 assets/rule-template.yaml:191 assets/rule-template.yaml:192 assets/rule-template.yaml:193 assets/rule-template.yaml:217 assets/rule-template.yaml:260 assets/rule-template.yaml:261 assets/rule-template.yaml:288 references/license_risk_guide.md:361 references/remediation_strategies.md:209 references/remediation_strategies.md:301 references/remediation_strategies.md:302 references/supply_chain_threats.md:193 references/supply_chain_threats.md:62 references/supply_chain_threats.md:65 references/supply_chain_threats.md:66 references/supply_chain_threats.md:69 references/supply_chain_threats.md:75 references/supply_chain_threats.md:193 references/supply_chain_threats.md:200 references/supply_chain_threats.md:388 references/supply_chain_threats.md:412 references/supply_chain_threats.md:413 references/supply_chain_threats.md:518 SKILL.md:21 SKILL.md:22 SKILL.md:23 SKILL.md:24 SKILL.md:42 SKILL.md:53 SKILL.md:189 SKILL.md:280 SKILL.md:293 SKILL.md:299 SKILL.md:385 SKILL.md:386
🔑 Umgebungsvariablen (37)
assets/ci_integration/github_actions.yml:110 assets/ci_integration/github_actions.yml:111 assets/ci_integration/github_actions.yml:110 assets/ci_integration/github_actions.yml:111 assets/ci_integration/github_actions.yml:41 assets/ci_integration/github_actions.yml:103 assets/ci-config-template.yml:164 assets/rule-template.yaml:148 assets/rule-template.yaml:148 assets/rule-template.yaml:147 assets/rule-template.yaml:162 assets/rule-template.yaml:132 assets/rule-template.yaml:147 assets/rule-template.yaml:148 assets/rule-template.yaml:156 assets/rule-template.yaml:157 assets/rule-template.yaml:162 assets/rule-template.yaml:163 assets/rule-template.yaml:164 assets/rule-template.yaml:165 references/EXAMPLE.md:423 references/EXAMPLE.md:423 references/EXAMPLE.md:424 references/EXAMPLE.md:425 references/EXAMPLE.md:427 references/EXAMPLE.md:430 references/EXAMPLE.md:432 references/EXAMPLE.md:437 references/EXAMPLE.md:444 references/supply_chain_threats.md:189 references/supply_chain_threats.md:190 references/supply_chain_threats.md:191 references/supply_chain_threats.md:189 references/supply_chain_threats.md:190 references/supply_chain_threats.md:191 references/supply_chain_threats.md:190 references/supply_chain_threats.md:191
Erkannte Muster
Pipe to shell pattern×2
Geprüft von: codex Audit-Verlauf anzeigen →
Diesen Bericht teilen & zitieren
Teile den versionierten Bewertungsbericht, das neutrale Badge, die Einbettungskarte und Zitate. Skillstore berichtet Nachweise, ohne zu entscheiden, ob dieser Skill sicher ist.
Berichtslink kopieren
https://skillstore.io/skills/agentsecops-sca-blackduck/audits/9?utm_source=security_passport&utm_medium=share&utm_campaign=versioned_reportMarkdown-Badge
[](https://skillstore.io/skills/agentsecops-sca-blackduck?utm_source=security_passport_badge)HTML-Badge
<a href="https://skillstore.io/skills/agentsecops-sca-blackduck?utm_source=security_passport_badge"><img src="https://skillstore.io/badges/skills/agentsecops-sca-blackduck/security.svg" alt="Skillstore security assessment" loading="lazy"></a>Einbettungskarte
<iframe src="https://skillstore.io/embed/skills/agentsecops-sca-blackduck.html" title="Skillstore Security Assessment" sandbox="allow-popups allow-popups-to-escape-sandbox" loading="lazy" referrerpolicy="no-referrer" width="420" height="180"></iframe>Wissenschaftliche Zitate (APA · BibTeX · CFF)
APA-Zitat
AgentSecOps. (2026). sca-blackduck security audit report (audit version 9) [Author version 0.1.0]. Skillstore. https://skillstore.io/skills/agentsecops-sca-blackduck/audits/9BibTeX-Zitat
@techreport{agentsecops-agentsecops-sca-blackduck-2026,
author = {AgentSecOps},
title = {sca-blackduck security audit report (audit version 9)},
institution = {Skillstore},
year = {2026},
number = {9},
url = {https://skillstore.io/skills/agentsecops-sca-blackduck/audits/9},
note = {Author version 0.1.0}
}CITATION.cff
cff-version: 1.2.0
message: "If you use this Skill, cite its author and this versioned security audit report."
title: "sca-blackduck security audit report (audit version 9)"
version: "0.1.0"
type: report
authors:
- name: "AgentSecOps"
date-released: "2026-07-23"
url: "https://skillstore.io/skills/agentsecops-sca-blackduck/audits/9"
identifiers:
- type: other
value: "skillstore:agentsecops-sca-blackduck:audit:9"
description: "Skillstore immutable audit report identifier"
Skillstore-Score
Warum dieser Score Evidenzvertrauen: Mittel 59
Architektur
100
Wartbarkeit
87
Inhalt
71
Gemeinschaft
91
Spezifikationskonformität
Was Sie erstellen können
Schwachstellen in Abhängigkeiten priorisieren
Black Duck-Ergebnisse prüfen, CVEs Risikokategorien zuordnen und Korrekturen für kritische Anwendungsabhängigkeiten priorisieren.
SCA zu CI hinzufügen
CI-Vorlagen anpassen, um Black Duck-Scans auszuführen, Artefakte zu veröffentlichen und Builds bei Richtlinienverstößen zu blockieren.
Lizenzrisiko bewerten
Lizenzhinweise und Richtlinienbeispiele nutzen, um Abhängigkeiten vor der Release-Freigabe zu klassifizieren.
Diese Prompts ausprobieren
Scan-Plan starten
Hilf mir, einen Black Duck SCA-Scan für dieses Repository zu planen. Identifiziere Paketmanager, erforderliche Secrets, Scan-Umfang und erwartete Ausgaben.
Scan-Ergebnisse prüfen
Prüfe diese Black Duck-Ergebnisse. Priorisiere Schwachstellen nach Schweregrad, Ausnutzbarkeit, Paketrolle und verfügbaren behobenen Versionen.
CI-Durchsetzung entwerfen
Erstelle einen Plan zur CI-Durchsetzung für Black Duck. Berücksichtige Secret-Verwaltung, Report-Artefakte, Fehlerschwellenwerte und Entwicklerfeedback.
Roadmap zur Behebung erstellen
Erstelle aus diesen SCA- und Lizenzergebnissen eine Roadmap zur Behebung. Gruppiere Korrekturen nach Abhängigkeit, Verantwortlichem, Risiko, Zeitplan und Verifizierungsschritt.
Bewährte Praktiken
- Black Duck-Anmeldedaten in CI-Secrets oder einem dedizierten Secret-Manager speichern.
- Installer-Quellen pinnen oder heruntergeladene Tools vor der Ausführung verifizieren.
- Akzeptierte Risiken mit Verantwortlichem, Grund, Ablaufdatum und kompensierenden Kontrollen dokumentieren.
Vermeiden
- Remote-Installer-Skripte ohne Pinning oder Prüfsummenverifizierung ausführen.
- Jede CVE gleich behandeln, ohne Ausnutzbarkeit oder Laufzeitkontext zu berücksichtigen.
- Copyleft-Lizenzen ohne Prüfung der rechtlichen und produktbezogenen Auswirkungen freigeben.
Häufig gestellte Fragen
Führt dieser Skill Black Duck-Scans automatisch aus?
Nein. Er stellt Leitlinien, Beispiele und Vorlagen bereit. Ein Benutzer oder Agent muss die Scan-Befehle ausführen.
Welche Anmeldedaten sind erforderlich?
Die meisten Workflows benötigen eine Black Duck-URL und ein API-Token, die als geschützte Secrets gespeichert sind.
Kann er bei Lizenz-Compliance helfen?
Ja. Er enthält Hinweise zu Lizenzrisiken, Richtlinienbeispiele und Review-Workflows für Hochrisikolizenzen.
Ersetzt er die rechtliche Prüfung?
Nein. Er unterstützt Triage und Dokumentation, aber die Rechtsberatung sollte über wesentliche Lizenzpflichten entscheiden.
Welche CI-Systeme werden abgedeckt?
Die Assets enthalten Beispiele für GitHub Actions, GitLab CI und Jenkins-Pipelines.
Welche Ausgaben sollten Teams erwarten?
Typische Ausgaben umfassen Schwachstellenprioritäten, Hinweise zu Lizenzrisiken, SBOM-Leitlinien und Schritte zur Behebung.
Entwicklerdetails
Autor
AgentSecOpsLizenz
MIT
Autorenversion
v0.1.0
Skillstore-Revision
r2
Ref.
181fdefcafd96b041926e61c4b2e306ca7e7820e
Aktualität der Wartung
26.7.2026
Nutzung
6 Downloads · 261 Aufrufe