非公開で報告されたセキュリティの脆弱性の管理

リポジトリメンテナは、プライベート脆弱性レポートが有効になっているリポジトリのセキュリティリサーチャーによって非公開で報告されたセキュリティ脆弱性を管理できます。

この機能を使用できるユーザーについて

Anyone with admin permissions to a repository can see, review, and manage privately-reported vulnerabilities for the repository.

この記事の内容

パブリックリポジトリの所有者と管理者は、リポジトリでプライベート脆弱性レポートを有効にすることができます。詳しくは、「リポジトリのプライベート脆弱性レポートの構成」を参照してください。

セキュリティの脆弱性を非公開で報告する方法について

プライベート脆弱性レポートを使用すると、セキュリティリサーチャーは簡単なフォームを使用して脆弱性を直接報告できます。

セキュリティ研究者によって脆弱性が非公開で報告されると、通知を受け取って、承諾するか、さらに質問するか、拒否するかを選ぶことができます。レポートを承諾した場合は、セキュリティリサーチャーと非公開で脆弱性の修正を共同で行う準備が整います。

非公開で報告されるセキュリティの脆弱性の管理

プライベート脆弱性レポートが有効になっているリポジトリで新しい脆弱性がプライベートに報告されると、次の場合、GitHub はリポジトリメンテナンス担当者とセキュリティマネージャーに通知します。

リポジトリでのすべてのアクティビティを監視している。
リポジトリで通知が有効にされている。

通知の基本設定の構成について詳しくは、「リポジトリのプライベート脆弱性レポートの構成」をご覧ください。

GitHub で、リポジトリのメインページに移動します。
リポジトリ名の下にある [ セキュリティ] をクリックします。 [セキュリティ] タブが表示されない場合は、 [] ドロップダウンメニューを選び、 [セキュリティ] をクリックします。
左側のサイドバーの [レポート] で、 [ アドバイザリ] をクリックします。
確認するアドバイザリをクリックします。非公開で報告されたアドバイザリの状態は Triage です。
レポートをよく確認してから、次のアクションを選択します。
- 非公開のパッチで共同作業するには、 [一時的なプライベートフォークを開始する] をクリックして、共同作成者とさらにディスカッションする場所を作成します。これにより、提案されたアドバイザリの状態は Triage から変更されません。
- 報告された脆弱性を承諾するには、 [承諾してドラフトとして開く] をクリックして、GitHub のドラフトアドバイザリとして脆弱性レポートを承諾します。このオプションを選択した場合、次のようになります。
  - これにより、レポートが公開されることはありません。
  - レポートはドラフトのリポジトリセキュリティアドバイザリになり、作成するドラフトアドバイザリと同じ方法で作業できます。セキュリティアドバイザリついて詳しくは、「リポジトリセキュリティアドバイザリについて」をご覧ください。
- 詳細について質問し、報告者と話し合うには、アドバイザリにコメントできます。コメントは、報告者とアドバイザリのコラボレーターにのみ表示されます。
- 報告者が説明する問題がセキュリティリスクではないと判断できる十分な情報がある場合は、 [セキュリティアドバイザリを閉じる] をクリックします。可能であれば、アドバイザリを閉じる前に、レポートをセキュリティリスクと見なさない理由を説明するコメントを追加する必要があります。