Diese Version von GitHub Enterprise Server wurde eingestellt am 2024-09-25. Es wird keine Patch-Freigabe vorgenommen, auch nicht für kritische Sicherheitsprobleme. Für bessere Leistung, verbesserte Sicherheit und neue Features aktualisiere auf die neueste Version von GitHub Enterprise Server. Wende dich an den GitHub Enterprise-Support, um Hilfe zum Upgrade zu erhalten.

Durchsuchen von Sicherheitsempfehlungen in der GitHub Advisory Database

Sie können die GitHub Advisory Database durchsuchen, um CVEs und GitHub-ursprünglichen Empfehlungen zu finden, die sich auf die Open Source-Welt auswirken.

In diesem Artikel

Zugriff auf einen Hinweis in der GitHub Advisory Database

Du kannst auf jede Empfehlung in GitHub Advisory Database zugreifen.

  1. Navigiere zu https://github.com/advisories.

  2. Um die Liste der Empfehlungen zu filtern, verwende optional das Suchfeld oder die Dropdownmenüs am Anfang der Liste.

    Note

    Über die linke Randleiste kannst du die von GitHub überprüften und die nicht überprüften Empfehlungen separat durchsuchen oder nach Ökosystem filtern.

  3. Klicke auf eine Empfehlung, um die Details zu sehen. Standardmäßig werden von GitHub überprüfte Empfehlungen zu Sicherheitsrisiken angezeigt. Verwenden Sie type:malware in der Suchleiste zum Anzeigen von Empfehlungen zu Schadsoftware.

Die Datenbank ist auch über die GraphQL-API zugänglich. Standardmäßig geben Abfragen von GitHub überprüfte Empfehlungen zu Sicherheitsrisiken zurück, sofern Sie nicht type:malware angeben. Weitere Informationen findest du unter Webhook-Ereignisse und -Nutzlasten.

Bearbeiten einer Empfehlung in GitHub Advisory Database

Du kannst für alle Empfehlungen in GitHub Advisory Database Verbesserungen vorschlagen. Weitere Informationen finden Sie unter Bearbeiten von Sicherheitshinweisen in GitHub Advisory Database.

Durchsuche die GitHub Advisory Database

Du kannst die Datenbank durchsuchen und die Suche mithilfe von Qualifizierern eingrenzen. Du kannst die Suche z. B. nach Empfehlungen eingrenzen, die an einem bestimmten Datum, in einem bestimmten Ökosystem oder in einer bestimmten Bibliothek erstellt wurden.

Die Datumsformatierung muss dem ISO8601-Standard entsprechen: YYYY-MM-DD (Jahr-Monat-Tag). Du kannst nach dem Datum auch optionale Zeitinformationen im Format THH:MM:SS+00:00 hinzufügen, um nach Stunde, Minute und Sekunde zu suchen. Das heißt, T, gefolgt von HH:MM:SS (Stunden-Minuten-Sekunden) und einem UTC-Offset (+00:00).

Wenn du nach einem Datum suchst, kannst du „größer als“, „kleiner als“ und Bereichsqualifizierer verwenden, um Ergebnisse weiter zu filtern. Weitere Informationen findest du unter Grundlagen der Suchsyntax.

QualifiziererBeispiel
type:reviewedtype:reviewed zeigt von GitHub überprüfte Empfehlungen zu Sicherheitsrisiken an.
type:malwaretype:malware zeigt Schadsoftware-Hinweise an.
type:unreviewedtype:unreviewed zeigt nicht überprüfte Empfehlungen an.
GHSA-IDGHSA-49wp-qq6x-g2rf zeigt die Empfehlung mit dieser GitHub Advisory Database-ID an.
CVE-IDCVE-2020-28482 zeigt die Empfehlung mit dieser CVE-ID an.
ecosystem:ECOSYSTEMecosystem:npm zeigt nur Empfehlungen für npm-Pakete an.
severity:LEVELseverity:high zeigt nur Empfehlungen mit hohem Schweregrad an.
affects:LIBRARYaffects:lodash zeigt nur Empfehlungen für die Bibliothek „lodash“ an.
cwe:IDcwe:352 zeigt nur Empfehlungen mit dieser CWE-Nummer an.
credit:USERNAMEcredit:octocat zeigt nur Empfehlungen des Benutzerkontos „octocat“ an.
sort:created-ascsort:created-asc sortiert die Empfehlungen in absteigender Reihenfolge nach dem Datum.
sort:created-descsort:created-desc sortiert die Empfehlungen in aufsteigender Reihenfolge nach dem Datum.
sort:updated-ascsort:updated-asc sortiert die Empfehlungen in absteigender Reihenfolge nach dem Zeitpunkt der Aktualisierung.
sort:updated-descsort:updated-desc sortiert die Empfehlungen in aufsteigender Reihenfolge nach dem Zeitpunkt der Aktualisierung.
is:withdrawnis:withdrawn zeigt nur zurückgezogene Empfehlungen an.
created:YYYY-MM-DDcreated:2021-01-13 zeigt nur Empfehlungen an, die an diesem Datum erstellt wurden.
updated:YYYY-MM-DDupdated:2021-01-13 zeigt nur Empfehlungen an, die an diesem Datum aktualisiert wurden.

Ein GHSA-ID-Qualifizierer ist eine eindeutige ID, die wir bei GitHub automatisch jeder Empfehlung in der GitHub Advisory Database zuweisen. Weitere Informationen zu diesen Bezeichnern findest du unter Informationen zur GitHub Advisory Database.

Anzeigen von anfälligen Repositorys

Sie können für alle von GitHub überprüften Empfehlungen in GitHub Advisory Database diejenigen Repositorys anzeigen, die von einem bestimmten Sicherheitsrisiko oder einer bestimmten Schadsoftware betroffen sind. Dafür benötigst du für dieses Repository Zugriff auf Dependabot alerts. Weitere Informationen finden Sie unter Informationen zu Dependabot-Warnungen.

  1. Navigiere zu https://github.com/advisories.
  2. Klicke auf eine Empfehlung.
  3. Klicke oben auf der Seite der Empfehlung auf Dependabot-Warnungen.
    Screenshot einer „globalen Sicherheitsempfehlung“. Die Schaltfläche „Dependabot-Warnungen“ ist mit einer orangefarbenen Kontur hervorgehoben.
  4. Du kannst die Liste auch über die Suchleiste oder mit einem der Dropdownmenüs filtern. Über das Dropdownmenü „Organisation“ kannst du Dependabot alerts nach Besitzer (Organisation oder Benutzer*in) filtern.
  5. Klicke auf den Namen der Empfehlung, um weitere Informationen zum jeweiligen Sicherheitsrisiko sowie Ratschläge zu dessen Behebung anzuzeigen.

Zugreifen auf die lokale Advisory Database auf GitHub Enterprise Server

Wenn dein Websiteadministrator GitHub Connect für die Instanz aktiviert hat, können überprüfte Empfehlungen auch lokal durchsucht werden. Weitere Informationen finden Sie unter Informationen zu GitHub Verbinden.

Du kannst mit deiner lokalen Advisory Database überprüfen, ob ein bestimmtes Sicherheitsrisiko vorliegt, und entsprechend Warnungen zu sicherheitsanfälligen Abhängigkeiten erhalten. Du kannst auch alle sicherheitsanfälligen Repositorys anzeigen.

  1. Navigiere zu https://HOSTNAME/advisories.

  2. Du kannst die Liste auch mit einem der Dropdownmenüs filtern.

    Note

    Nur überprüfte Empfehlungen werden aufgelistet. Nicht überprüfte Empfehlungen können in der GitHub Advisory Database auf GitHub.com angezeigt werden. Weitere Informationen findest du unter Zugreifen auf eine Empfehlung in der GitHub Advisory Database.

  3. Klicke auf eine Empfehlung, um die Details zu sehen. Standardmäßig werden von GitHub überprüfte Empfehlungen zu Sicherheitsrisiken angezeigt. Verwenden Sie type:malware in der Suchleiste zum Anzeigen von Empfehlungen zu Schadsoftware.

Du kannst Verbesserungen von Empfehlungen auch direkt von deiner lokalen Advisory Database aus vorschlagen. Weitere Informationen finden Sie unter Bearbeiten von Sicherheitshinweisen in GitHub Advisory Database.

Anzeigen anfälliger Repositorys für die Instanz

Unternehmensbesitzer müssen Dependabot alerts für Ihre GitHub Enterprise Server-Instance aktivieren, bevor du dieses Feature nutzen kannst. Weitere Informationen findest du unter Aktivieren von Dependabot für dein Unternehmen.

In der lokalen Advisory Database können Sie sehen, welche Repositorys von dem jeweiligen Sicherheitsrisiko oder der jeweiligen Schadsoftware betroffen sind. Dafür benötigst du für dieses Repository Zugriff auf Dependabot alerts. Weitere Informationen finden Sie unter Informationen zu Dependabot-Warnungen.

  1. Navigiere zu https://HOSTNAME/advisories.
  2. Klicke auf eine Empfehlung.
  3. Klicke oben auf der Seite der Empfehlung auf Dependabot-Warnungen.
    Screenshot einer „globalen Sicherheitsempfehlung“. Die Schaltfläche „Dependabot-Warnungen“ ist mit einer orangefarbenen Kontur hervorgehoben.
  4. Du kannst die Liste auch über die Suchleiste oder mit einem der Dropdownmenüs filtern. Über das Dropdownmenü „Organisation“ kannst du Dependabot alerts nach Besitzer (Organisation oder Benutzer*in) filtern.
  5. Klicke auf den Namen der Empfehlung, um weitere Informationen zum jeweiligen Sicherheitsrisiko sowie Ratschläge zu dessen Behebung anzuzeigen.