Konfigurieren der Meldung privater Sicherheitsrisiken für ein Repository

Wenn Sie private Sicherheitsrisikoberichte aktivieren, erhalten Sicherheitsforscher eine sichere, strukturierte Möglichkeit, Sicherheitsrisiken direkt in Ihrem Repository offenzulegen. Sobald dies aktiviert ist, können Forscher Berichte über das formular für die private Sicherheitsrisikoberichterstattung ihres Repositorys übermitteln, ohne auf öffentliche Offenlegung oder informelle Kanäle zurückgreifen zu müssen. Hintergrundinformationen zu privaten Sicherheitsrisikenberichten und zur koordinierten Offenlegung finden Sie unter Koordinierte Offenlegung von Sicherheitsrisiken.

Die Anweisungen in diesem Artikel beziehen sich auf die Aktivierung auf Repositoryebene. Informationen zur Aktivierung der Funktion auf Organisationsebene findest du unter Erstellen einer benutzerdefinierten Sicherheitskonfiguration.

Aktivieren oder Deaktivieren der Meldung privater Sicherheitsrisiken für ein Repository

Navigieren Sie auf GitHub zur Hauptseite des Repositorys.
Klicke unter dem Repositorynamen auf Settings. Wenn die Registerkarte „Einstellungen“ nicht angezeigt wird, wähle im Dropdownmenü die Option Einstellungen aus.
Klicken Sie im Abschnitt "Sicherheit und Qualität" der Randleiste auf Advanced Security.
Klicken Sie unter "Advanced Security" rechts neben "Private Sicherheitsrisikoberichterstattung" auf "Aktivieren oder Deaktivieren", um das Feature zu aktivieren bzw. zu deaktivieren.

Screenshot der Seite „Code-Sicherheit und -Analyse“, der die Einstellung „Private Schwachstellenmeldung“ festlegt. Die Schaltfläche „Aktivieren“ ist orange umrandet.

Wenn die Berichterstattung über private Sicherheitsrisiken aktiviert ist, sehen Sicherheitsexperten auf der Seite "Empfehlungen" des Repositorys eine Schaltfläche " Sicherheitsanfälligkeit melden", mit der sie einen privaten Bericht übermitteln können.

Sicherheitsforscher*innen können auch die REST-API verwenden, um Sicherheitsrisiken privat zu melden. API-Übermittlungen verwenden ein description im Markdown-Format. Wenn das Repository oder das Repository des Besitzers .github ein benutzerdefiniertes Meldungsformular für Sicherheitslücken definiert, muss die API-Beschreibung die erforderlichen Abschnitte und Antworten aus diesem Formular enthalten. Das integrierte Standardformular wird für API-Übermittlungen nicht erzwungen.

Sie können die REST-API verwenden, um das benutzerdefinierte Formular abzurufen, das für ein Repository gilt. Weitere Informationen findest du unter REST-API-Endpunkte für Sicherheitsempfehlungen zu Repositorys.

Formular zur Meldung von Schwachstellen anpassen

Standardmäßig müssen Meldende im Formular zur privaten Meldung von Schwachstellen eine Zusammenfassung, Details, einen Proof of Concept und eine Auswirkungsbeschreibung angeben. Diese strukturierten Informationen helfen Maintainern, Berichte konsistent zu bewerten und die Notwendigkeit zu reduzieren, fehlende Details anzufordern.

Um das Formular anzupassen, fügen Sie dem VULNERABILITY_REPORT.yml-Verzeichnis des Repositorys eine .github- oder VULNERABILITY_REPORT.yaml-Datei hinzu. Sie können auch ein Standardformular für eine Organisation oder ein persönliches Konto in dem .github Repository definieren, das diesem Konto gehört. Ein Formular in einem einzelnen Repository hat Vorrang vor dem Formular im .github Repository des Besitzers.

Private Sicherheitsrisikoberichterstattungsformulare verwenden dieselbe YAML-Syntax wie Issue-Formulare. Die Formulare unterstützen checkboxes, dropdown, input, markdown und textarea Elemente. Sie können Felder als erforderlich markieren und verwenden min_length , um eine Mindestanzahl von Zeichen für input und textarea Elemente zu erfordern. Informationen zu den unterstützten Schlüsseln für jedes Element finden Sie unter Syntax für das Formularschema von GitHub.

Das folgende Formular erfordert beispielsweise einen detaillierten Proof of Concept von mindestens 100 Zeichen.

YAML

name: Private vulnerability report
description: Provide the information maintainers need to assess the report.
body:
  - type: textarea
    id: summary
    attributes:
      label: Summary
      description: Summarize the vulnerability and its potential severity.
    validations:
      required: true
  - type: textarea
    id: proof_of_concept
    attributes:
      label: Proof of concept
      description: Provide complete instructions for reproducing the vulnerability.
    validations:
      required: true
      min_length: 100
  - type: textarea
    id: impact
    attributes:
      label: Impact
      description: Explain who is affected and how.
    validations:
      required: true

name: Private vulnerability report
description: Provide the information maintainers need to assess the report.
body:
  - type: textarea
    id: summary
    attributes:
      label: Summary
      description: Summarize the vulnerability and its potential severity.
    validations:
      required: true
  - type: textarea
    id: proof_of_concept
    attributes:
      label: Proof of concept
      description: Provide complete instructions for reproducing the vulnerability.
    validations:
      required: true
      min_length: 100
  - type: textarea
    id: impact
    attributes:
      label: Impact
      description: Explain who is affected and how.
    validations:
      required: true

Wenn GitHub kein benutzerdefiniertes Formular analysieren oder validieren kann, sehen Reporter stattdessen das Standardformular.

Verlangen von Reportern, eine CWE zuzuweisen

Sie können von Reportern verlangen, mindestens eine Common Weakness Enumeration (CWE) jedem neuen Bericht zuzuordnen. Diese Einstellung auf Repositoryebene gilt für Berichte, die in der Weboberfläche und mit der REST-API übermittelt werden. Sie gilt nicht für Repository-Betreuer, die Sicherheitshinweise erstellen oder vorhandene Sicherheitshinweise bearbeiten.

Navigieren Sie auf GitHub zur Hauptseite des Repositorys.
Klicke unter dem Repositorynamen auf Settings. Wenn die Registerkarte „Einstellungen“ nicht angezeigt wird, wähle im Dropdownmenü die Option Einstellungen aus.
Klicken Sie im Abschnitt "Sicherheit und Qualität" der Randleiste auf Advanced Security.
Klicken Sie unter Advanced Security rechts von Berichterstellung für private Sicherheitsrisiken auf "Einstellungen".
Aktivieren Sie unter Übermittlungsanforderungen****CWE-Zuweisung anfordern.