Nota: Si es un investigador de seguridad, debe contactar directamente con los mantenedores para pedirles que creen asesorías de seguridad o que emitan CVE en su nombre en los repositorios que no administra. Pero si la generación de informes de vulnerabilidad privada está habilitada para el repositorio, puedes generar de forma privada un informe de vulnerabilidad por tu cuenta. Para obtener más información, vea «Creación de informes privados de una vulnerabilidad de seguridad».
Creación de un aviso de seguridad
También puedes usar la API REST para crear avisos de seguridad de repositorio. Para obtener más información, vea «Puntos de conexión de API de REST para avisos de seguridad de repositorios».
-
En GitHub, navegue hasta la página principal del repositorio.
-
En el nombre del repositorio, haz clic en Seguridad. Si no puedes ver la pestaña "Seguridad", selecciona el menú desplegable y, a continuación, haz clic en Seguridad.
-
En la barra lateral izquierda, en "Informes", haz clic en Avisos.
-
Haz clic en Nuevo borrador de asesoría de seguridad para abrir el borrador del formulario de asesoría. Los campos marcados con un asterisco son obligatorios.
-
En el campo Título, escribe un título para el aviso de seguridad.
-
Usa el menú desplegable Identificador de CVE para especificar si ya tienes un identificador de CVE o planeas solicitar uno en GitHub más adelante. Si tienes un identificador de CVE existente, selecciona Tengo un identificador de CVE existente para mostrar un campo CVE existente y escribe el identificador de CVE en el campo. Para obtener más información, vea «Acerca de las asesorías de seguridad de repositorio».
-
En el campo Descripción, escribe una descripción de la vulnerabilidad de seguridad, incluido su impacto, las revisiones o soluciones alternativas disponibles y cualquier referencia existente.
-
En "Productos afectados", define el ecosistema, el nombre del paquete, las versiones afectadas y revisadas y las funciones vulnerables correspondientes a la vulnerabilidad de seguridad que se describe en este aviso de seguridad. Si corresponde, puedes agregar varios productos afectados al mismo anuncio; para ello, haz clic en Agregar otro producto afectado.
Para información sobre cómo especificar información en el formulario, incluidas las versiones afectadas, consulta "Procedimientos recomendados para escribir asesorías de seguridad del repositorio".
-
Usa el menú desplegable Gravedad para definir la gravedad de la vulnerabilidad de seguridad. Si quieres calcular una puntuación de CVSS, selecciona Evaluar la gravedad mediante CVSS y, luego, selecciona los valores adecuados en la Calculadora. GitHub calcula la puntuación según la calculadora del Sistema de puntuación de vulnerabilidades comunes.
-
En "Puntos débiles", en el campo Enumerador de puntos débiles comunes, escribe enumeradores de puntos débiles comunes (CWE) que describan los tipos de puntos débiles relacionados con la seguridad que este aviso de seguridad notifica. Para obtener una lista completa de CWE, vea la "Enumeración de puntos débiles comunes" de MITRE.
-
Opcionalmente, en "Créditos", agrega créditos buscando un nombre de usuario de GitHub, la dirección de correo electrónico asociada a su cuenta de GitHub o su nombre completo.
-
Usa el menú desplegable situado junto al nombre de la persona a la que se le va a asignar un tipo de crédito. Para obtener más información sobre los tipos de crédito, consulta la sección Acerca de los créditos para avisos de seguridad del repositorio.
-
Opcionalmente, para quitar a alguien, haz clic en junto al tipo de crédito.
-
-
Haga clic en Create draft security advisory.
Las personas listadas en la sección de "Créditos" recibirán una notificación web o por correo electrónico que los invita a aceptar el crédito. Si la persona acepta, su nombre de usuario estará visible al público una vez que la asesoría de seguridad se publique.
Acerca de los créditos para avisos de seguridad del repositorio
Puedes dar crédito a las personas que ayudaron a descubrir, reportar, o arreglar una vulnerabilidad de seguridad. Si le das crédito a alguien, ellos pueden elegir aceptarlo o declinarlo.
Puedes asignar diferentes tipos de crédito a los usuarios.
| Tipo de crédito | Motivo |
|---|---|
| Buscador | Identifica la vulnerabilidad |
| Informador | Notifica al proveedor la vulnerabilidad en un CNA |
| Analista | Valida la vulnerabilidad para garantizar la precisión o la gravedad |
| Coordinador | Facilita el proceso de respuesta coordinada |
| Desarrollador de correcciones | Prepara un cambio de código u otros planes de corrección |
| Revisor de correcciones | Revisa los planes de corrección de vulnerabilidades o los cambios de código para mejorar la eficacia y la integridad. |
| Comprobador de correcciones | Comprueba la vulnerabilidad o su corrección |
| Herramienta | Nombres de herramientas usadas en la detección o identificación de vulnerabilidades |
| Patrocinador | Admite las actividades de identificación o corrección de vulnerabilidades |
Si alguien acepta el crédito, el nombre de usuario de la persona aparecerá en la sección "Créditos" de la asesoría de seguridad. Cualquiera con acceso de lectura al repositorio puede ver la asesoría y las personas que aceptaron el crédito por ella.
Nota: Si crees que se te debería dar crédito por alguna asesoría de seguridad, contacta con el creador de la asesoría y pídele que la edite para incluir tu crédito. Solo el creador de la asesoría te puede dar crédito, así que, por favor, no contactes con el Soporte de GitHub pidiendo crédito para alguna asesoría de seguridad.
Pasos siguientes
- Comentar en el borrador de asesoría de seguridad para debatir sobre la vulnerabilidad con tu equipo.
- Añadir colaboradores a la asesoría de seguridad. Para obtener más información, vea «Incorporación de un colaborador a un aviso de seguridad de repositorio».
- Colaborar en privado para solucionar la vulnerabilidad en una bifurcación privada temporaria. Para obtener más información, vea «Colaboración en una bifurcación privada temporal para resolver una vulnerabilidad de seguridad del repositorio».
- Agregar individuos que deberían recibir crédito por contribuir con la asesoría de seguridad. Para obtener más información, vea «Edición de un aviso de seguridad de repositorio».
- Publicar la asesoría de seguridad para notificar a tu comunidad sobre la vulnerabilidad de seguridad en cuestión. Para obtener más información, vea «Publicación de un aviso de seguridad de repositorio».