GitHub Advisory Database のセキュリティ脆弱性を参照する

セキュリティの脆弱性について

脆弱性とは、プロジェクトあるいはそのコードを利用する他のプロジェクトにおいて、秘密性、一貫性、可用性を損なうために悪用されうる、プロジェクトコードの問題です。 Vulnerabilities vary in type, severity, and method of attack.

GitHub will send you Dependabot alerts if we detect that any of the vulnerabilities from the GitHub Advisory Database affect the packages that your repository depends on. 詳しい情報については、「脆弱性のある依存関係に対するアラートについて」を参照してください。

GitHub Advisory Database について

GitHub Advisory Database には、GitHub の依存関係グラフによって追跡されるパッケージにマップされたセキュリティの脆弱性のキュレーションされたリストが含まれています。 We add vulnerabilities to the GitHub Advisory Database from the following sources:

• National Vulnerability Database
• GitHub上のパブリックなコミット内の脆弱性の検出に、機械学習と人間によるレビューの組み合わせ
• Security advisories reported on GitHub
• The npm Security advisories database

各セキュリティアドバイザリには、説明、重要度、影響するパッケージ、パッケージエコシステム、影響するバージョンとパッチを適用したバージョン、影響、およびリファレンス、回避策、クレジットなどのオプション情報を含む、脆弱性に関する情報が含まれています。 さらに、National Vulnerability Database リストのアドバイザリには、CVE レコードへのリンクが含まれており、脆弱性、その CVSS スコア、その定性的な重要度レベルの詳細を確認できます。 詳しい情報については、アメリカ国立標準技術研究所の「National Vulnerability Database"」を参照してください。

重要度のレベルは Common Vulnerability Scoring System (CVSS), Section 2.1.2 で定義されている 4 つのレベルのいずれかです。

• Low
• Moderate
• High
• Critical

GitHub Advisory Database は、CVSS バージョン 3.0 標準と上記の CVSS レベルを使用します。

GitHub Security Labに加わり、セキュリティ関連のトピックをブラウズし、セキュリティのツールやプロジェクトに貢献することもできます。

GitHub Advisory Database のアドバイザリにアクセスする

1. Https://github.com/advisories にアクセスします。
2. 必要に応じて、リストをフィルタするには、ドロップダウンメニューを使用します。
   
3. アドバイザリをクリックして詳細を表示します。

GitHub Advisory Database を検索する

You can search the database, and use qualifiers to narrow your search. For example, you can search for advisories created on a certain date, in a specific ecosystem, or in a particular library.

日付の形式は ISO8601標準に従い、YYYY-MM-DD(年-月-日) とする必要があります。 オプションの時間情報のTHH:MM:SS+00:00を日付の後に付けて、時、分、秒で検索できるようにすることもできます。 これはTの後にHH:MM:SS（時-分-秒）、そしてUTCオフセット(+00:00)を続けたものです。

When you search for a date, you can use greater than, less than, and range qualifiers to further filter results. 詳しい情報については、「検索構文を理解する」を参照してください。

Viewing your vulnerable repositories

For any vulnerability in the GitHub Advisory Database, you can see which of your repositories have a Dependabot alert for that vulnerability. To see a vulnerable repository, you must have access to Dependabot alerts for that repository. 詳しい情報については、「脆弱性のある依存関係に対するアラートについて」を参照してください。

1. Https://github.com/advisories にアクセスします。
2. Click an advisory.
3. At the top of the advisory page, click Dependabot alerts.
   
4. Optionally, to filter the list, use the search bar or the drop-down menus. The "Organization" drop-down menu allows you to filter the Dependabot alerts per owner (organization or user).
   
5. For more details about the vulnerability, and for advice on how to fix the vulnerable repository, click the repository name.

参考リンク

• MITREの「脆弱性」の定義