Hitonabi
e556dcc853
Erstlauf-Befund: mem0-/voice-venvs sind uv-erstellt (kein bin/pip, kein pip-Modul). Das Audit-venv prueft deren site-packages jetzt von aussen (pip list --outdated/--format=freeze --path) - Dienst-venvs bleiben unberuehrt. Co-Authored-By: Claude Fable 5 <noreply@anthropic.com>
95 lines
4.4 KiB
Bash
95 lines
4.4 KiB
Bash
#!/usr/bin/env bash
|
|
# Venv-Audit (monatlich, 17.07.2026): die Python-Nebendienste (Mem0, Voice) altern
|
|
# eingefroren — kein Auto-Update-Kanal deckt sie ab. Dieser Audit MELDET nur
|
|
# (bewusst kein Auto-Update: Python-Deps brechen gern):
|
|
# je venv: veraltete Pakete zählen (pip list --outdated) + bekannte
|
|
# Sicherheitslücken prüfen (pip-audit gegen den eingefrorenen Stand).
|
|
# Werkzeug: eigenes Audit-venv (~/.venv-audit, wird beim Erstlauf angelegt) — die
|
|
# Dienst-venvs selbst werden NICHT angefasst. CVE-Funde → Kanban-Karte (triage,
|
|
# idempotent je Monat). Läuft als Hermes-Cron --no-agent (stdout = Telegram).
|
|
set -uo pipefail
|
|
|
|
VENVS=("$HOME/.mem0/venv:mem0" "$HOME/.voice/venv:voice")
|
|
AUDIT_VENV="$HOME/.venv-audit"
|
|
HERMES="$HOME/.local/bin/hermes"
|
|
MONAT="$(date '+%Y-%m')"
|
|
TMP="$(mktemp -d /tmp/venv-audit.XXXXXX)"
|
|
trap 'rm -rf "$TMP"' EXIT
|
|
|
|
briefkasten() {
|
|
curl -sf -m 5 -X POST "${MC_ANNOUNCE_URL:-http://127.0.0.1:9001/api/voice/announce}" \
|
|
-H 'Content-Type: application/json' \
|
|
--data "$(python3 - "$1" <<'PY'
|
|
import json, sys
|
|
print(json.dumps({"text": sys.argv[1], "subject": "Venv-Audit",
|
|
"source": "venv-audit", "priority": "silent"}))
|
|
PY
|
|
)" >/dev/null 2>&1 || true
|
|
}
|
|
|
|
# ---------- Werkzeug-venv sicherstellen (einmalig) ----------
|
|
if [ ! -x "$AUDIT_VENV/bin/pip-audit" ]; then
|
|
python3 -m venv "$AUDIT_VENV" >/dev/null 2>&1 || true
|
|
"$AUDIT_VENV/bin/pip" install -q --upgrade pip pip-audit >/dev/null 2>&1 || true
|
|
fi
|
|
|
|
ZEILEN=()
|
|
CVE_DETAILS=""
|
|
CVES_GESAMT=0
|
|
|
|
for EINTRAG in "${VENVS[@]}"; do
|
|
VENV="${EINTRAG%%:*}"; NAME="${EINTRAG##*:}"
|
|
# uv-venvs haben KEIN eigenes pip (Befund Erstlauf 17.07.) → das Audit-venv
|
|
# inspiziert deren site-packages von außen (pip --path); Dienst-venvs bleiben unberührt.
|
|
SP="$("$VENV/bin/python" -c 'import sysconfig; print(sysconfig.get_paths()["purelib"])' 2>/dev/null || true)"
|
|
if [ -z "$SP" ] || [ ! -d "$SP" ]; then
|
|
ZEILEN+=("$NAME: venv fehlt/unlesbar unter $VENV — bitte prüfen")
|
|
continue
|
|
fi
|
|
# Veraltete Pakete (Anzahl reicht fürs Lagebild)
|
|
ALT_N="$("$AUDIT_VENV/bin/pip" list --outdated --path "$SP" 2>/dev/null | tail -n +3 | grep -c '' || echo 0)"
|
|
# CVE-Prüfung gegen den eingefrorenen Stand (lokale Pfade/Editables ausfiltern)
|
|
"$AUDIT_VENV/bin/pip" list --format=freeze --path "$SP" 2>/dev/null \
|
|
| grep -vE ' @ |^-e |^#' > "$TMP/$NAME.txt" || true
|
|
CVE_N=0
|
|
if [ -x "$AUDIT_VENV/bin/pip-audit" ] && [ -s "$TMP/$NAME.txt" ]; then
|
|
AUDIT_OUT="$("$AUDIT_VENV/bin/pip-audit" -r "$TMP/$NAME.txt" --progress-spinner off 2>&1 || true)"
|
|
if printf '%s' "$AUDIT_OUT" | grep -qi 'No known vulnerabilities'; then
|
|
CVE_N=0
|
|
else
|
|
CVE_N="$(printf '%s\n' "$AUDIT_OUT" | grep -cE '^[a-zA-Z0-9_.-]+ +[0-9][^ ]* +(GHSA|PYSEC|CVE)' || echo 0)"
|
|
if [ "${CVE_N:-0}" -gt 0 ]; then
|
|
CVE_DETAILS="${CVE_DETAILS}
|
|
== ${NAME} ==
|
|
$(printf '%s\n' "$AUDIT_OUT" | grep -E '^[a-zA-Z0-9_.-]+ +[0-9][^ ]* +(GHSA|PYSEC|CVE)' | head -10)"
|
|
fi
|
|
fi
|
|
else
|
|
ZEILEN+=("$NAME: pip-audit nicht verfügbar (Audit-venv kaputt oder offline?) — nur Outdated-Zählung")
|
|
fi
|
|
CVES_GESAMT=$(( CVES_GESAMT + ${CVE_N:-0} ))
|
|
ZEILEN+=("$NAME: ${ALT_N} Pakete veraltet · ${CVE_N:-0} bekannte Sicherheitslücken")
|
|
done
|
|
|
|
# ---------- Bericht ----------
|
|
if [ "$CVES_GESAMT" -eq 0 ]; then
|
|
echo "Commander, monatlicher Venv-Audit der Python-Nebendienste — keine bekannten Sicherheitslücken:"
|
|
printf '• %s\n' "${ZEILEN[@]}"
|
|
echo "(Veraltete Pakete sind nur ein Lagebild; aktualisiert wird bewusst nur mit Anlass.)"
|
|
briefkasten "Venv-Audit grün: $(printf '%s · ' "${ZEILEN[@]}")"
|
|
else
|
|
echo "⚠️ Commander, der monatliche Venv-Audit hat ${CVES_GESAMT} bekannte Sicherheitslücken gefunden:"
|
|
printf '• %s\n' "${ZEILEN[@]}"
|
|
echo "Details liegen als Karte in der Ideen-Queue — Update bleibt dein Entscheid."
|
|
if [ -x "$HERMES" ]; then
|
|
"$HERMES" kanban create "Venv-Audit ${MONAT}: ${CVES_GESAMT} Sicherheitslücken in Python-Diensten" \
|
|
--body "Automatischer monatlicher Audit (restore-/venv-Kreislauf 17.07.). Funde (pip-audit):
|
|
${CVE_DETAILS}
|
|
|
|
Empfehlung: betroffene Pakete gezielt aktualisieren (venv-weise, mit Dienst-Restart + Postcheck) — KEIN pauschales Upgrade." \
|
|
--triage --created-by venv-audit --idempotency-key "venv-audit-${MONAT}" >/dev/null 2>&1 || true
|
|
fi
|
|
briefkasten "⚠️ Venv-Audit: ${CVES_GESAMT} Sicherheitslücken — Karte liegt in der Queue."
|
|
exit 1
|
|
fi
|