Der Vertrag betrifft das Projekt „Conda-Forge CVE Mapping“, das sich mit dem Umgang mit Sicherheitslücken und der speziellen Sicherheitswartung für Conda-Forge befasst, dem größten von der Community betriebenen Paket-Repository im Conda-Ökosystem. Im Rahmen von fünf Arbeitspaketen umfasst der Vertrag eine maschinenlesbare Aufzeichnung der Upstream-Software, aus der die Conda-Forge-Pakete erstellt werden; einen offen lizenzierten Datensatz der Schwachstellen, die diese Pakete betreffen; die Befugnis für Conda-Forge, eigene Schwachstellenaufzeichnungen zu veröffentlichen; sowie eine finanzierte Sicherheitsfunktion für das Paketarchiv und die gemeinsam genutzten Systeme, die es erstellen und veröffentlichen. Ziel dieses Dienstes ist es, der Software-Lieferkette der öffentlichen Forschung die Fähigkeit zu verleihen, die von ihr verbreiteten Sicherheitslücken zu identifizieren, offenzulegen und zu beheben.