2153405_zh-CN

[#1]

开源漏洞和商业使用文档查询

队员们好

我们的客户审查了 MCAL 代码（RTD 3.0.0P01）为该项目使用名为 Black Duck 的开源验证工具。结果，他们发现了 MCAL 中的一些似乎使用开源元器件的文件，如所附文件所示。

有人能对此发表评论吗？有报告吗？

据我所知，RTD 采用的是恩智浦专有许可证，没有开放源码软件许可证。

顺祝商祺！

丹尼尔

RTDRe: Open-Source Vulnerabilities and Commercial Usage Documentation Inquiry

@danielmartynek
开发团队回复：

我检查了恩智浦社区网站上添加的文件，其中还有一些条目需要确认。也就是说，客户确实使用BlackDuck工具扫描了版本代码包，并生成了调查结果报告。

BlackDuck 工具能找到与我们现有代码和可能公开的代码相匹配的代码片段。这并不意味着任何匹配都是真实的，也不意味着代码是以某种方式窃取的。因此，该工具需要实际人员来分析结果，并根据需要确认或忽略结果。

在 RTD 中，我们很少使用开放源代码，除非有绝对必要，而且在使用时，我们一定会明确说明，并确保其符合恩智浦的许可证。

当 S32K3 RTD 3.0.0P01 版本于 2023 年 3 月 31 日，我们仍在使用 BlackDuck Protex，这是同一家供应商的旧工具，但搜索能力不如新工具。当时我们提交了一份 SCR 报告，其中列出了所有包含的元器件（附在本电子邮件中）。

附上 SCR 文件（SBOM 格式的前身，已在安装程序旁边提供）。它提到了所使用的元器件和许可证。如果调查仍在继续，我们将需要获取该版本并再次对其进行扫描，但要使用新的BlackDuck工具并为其提供新的报告（本质上是重做发布时已经完成的工作——扫描代码，提取每行代码，看看是否有任何问题）。