非公開で報告されたセキュリティの脆弱性の管理

セキュリティ研究者によって脆弱性が非公開で報告されると、通知を受け取って、承諾するか、さらに質問するか、拒否するかを選ぶことができます。 レポートを承諾した場合は、セキュリティ リサーチャーと非公開で脆弱性の修正を共同で行う準備が整います。

リポジトリで新しい脆弱性が非公開で報告されると、GitHub は、次の場合にリポジトリ管理者とセキュリティ マネージャーに通知します。

• すべてのアクティビティについてリポジトリを監視しているか、"セキュリティ アラート" 通知をサブスクライブしています。
• リポジトリで通知が有効にされている。

通知の基本設定の構成について詳しくは、「リポジトリのプライベート脆弱性レポートの構成」を参照してください。

脆弱性レポートの確認

1. GitHub で、リポジトリのメイン ページに移動します。

2. リポジトリ名の下にある [ Security and quality ] タブをクリックします。[ Security and quality] タブが表示されない場合は、 ドロップダウン メニューを選択し、[ Security and quality] をクリックします。

3. 左側のサイドバーの [Reporting] で、 [Advisories] をクリックします。

4. 確認するアドバイザリをクリックします。 非公開で報告されたアドバイザリの状態は Triage です。

   

5. レポートの詳細と AI 支援の開示を慎重に確認します。 次に、進め方を選択してください。

   • 非公開のパッチで共同作業するには、 [一時的なプライベート フォークを開始する] をクリックして、共同作成者とさらにディスカッションする場所を作成します。 これにより、提案されたアドバイザリの状態は Triage から変更されません。

   • 報告された脆弱性を受け入れるには、[ 承諾して下書きとして開く ] をクリックし、脆弱性レポートを GitHubのドラフト アドバイザリとして受け入れます。 このオプションを選択した場合、次のようになります。

     • これにより、レポートが公開されることはありません。
     • レポートはドラフトのリポジトリ セキュリティ アドバイザリになり、作成するドラフト アドバイザリと同じ方法で作業できます。 セキュリティ アドバイザリついて詳しくは「リポジトリ セキュリティ アドバイザリ」を参照してください。

   • 詳細について質問し、報告者と話し合うには、アドバイザリにコメントできます。 通常のコメントは、レポーターと、アドバイザリのすべてのコラボレーターに表示されます。

   • 報告者が説明する問題がセキュリティ リスクではないと判断できる十分な情報がある場合は、 [セキュリティ アドバイザリを閉じる] をクリックします。 可能であれば、アドバイザリを閉じる前に、レポートをセキュリティ リスクと見なさない理由を説明するコメントを追加する必要があります。

     

書き込みアクセス権を持つユーザーとレポートについて話し合う

リポジトリへの書き込みアクセス権を持つユーザーは、機密コメントを使用して相互に調整できます。 これらのコメントは、書き込みアクセス権を持たないレポーターや招待されたアドバイザリコラボレーターには表示されません。

機密コメントへのアクセスは、現在のリポジトリのアクセス許可に基づいています。 ユーザーの書き込みアクセス権が削除された場合、機密コメントを読めなくなります。 書き込みアクセス権を取得したユーザーは、既存の機密コメントを読むことができます。

1. アドバイザリ内で、コメントを入力します。
2. コメント フィールドの下にある [社外秘]。メンテナーにのみこのコメントが表示されます を選択します。
3. コメントをクリックします。

リポジトリへの書き込みアクセス権がある場合は、機密コメントを編集または削除できます。 コメントを投稿した後で、通常のコメントから機密に変更したり、機密から通常のコメントに変更したりすることはできません。