Creación de informes privados de una vulnerabilidad de seguridad

Los propietarios y administradores de repositorios públicos pueden habilitar informes de vulnerabilidades privados en sus repositorios. Para obtener más información, vea «Configuración de informes de vulnerabilidades privadas para un repositorio».

Note

Si tienes permisos de administrador o seguridad para un repositorio público, no es necesario que envíes un informe de vulnerabilidades. En su lugar, puedes crear directamente el borrador de un aviso de seguridad. Para más información, consulta Creación de un aviso de seguridad de repositorio.
La capacidad de notificar de forma privada una vulnerabilidad en un repositorio no está relacionada con la presencia de un archivo SECURITY.md en la raíz de ese repositorio o un directorio docs.
- El archivo SECURITY.md contiene la directiva de seguridad para el repositorio. Los administradores del repositorio pueden agregar y usar este archivo para proporcionar instrucciones públicas sobre cómo notificar una vulnerabilidad de seguridad en su repositorio. Para más información, consulta Agregar una política de seguridad a tu repositorio.
- Solo puedes notificar una vulnerabilidad de forma privada para los repositorios en los que está habilitado el informe de vulnerabilidades privado y no tienes por qué seguir las instrucciones del archivo SECURITY.md. Este proceso de informes es totalmente privado y GitHub notifica tu envío directamente a los administradores del repositorio.

Acerca de la creación de informes privados de una vulnerabilidad de seguridad

A menudo, los investigadores de seguridad se sienten responsables de alertar a los usuarios de una vulnerabilidad que podría aprovecharse. Si no hay instrucciones claras sobre cómo ponerse en contacto con los mantenedores del repositorio que contienen la vulnerabilidad, es posible que los investigadores de seguridad no tengan otra opción, sino publicar sobre la vulnerabilidad en las redes sociales, enviar mensajes directos al mantenedor o incluso crear incidencias públicas. Esta situación puede dar lugar a una divulgación pública de los detalles de la vulnerabilidad.

Los informes de vulnerabilidades privados facilitan a los investigadores de seguridad notificar las vulnerabilidades directamente al mantenedor de repositorios mediante un formulario sencillo.

Para los investigadores de seguridad, las ventajas de usar informes de vulnerabilidades privados son:

Menos frustración y menos tiempo dedicado a tratar de averiguar cómo ponerse en contacto con el mantenedor.
Un proceso más sencillo para revelar y analizar los detalles de la vulnerabilidad.
La oportunidad de analizar los detalles de vulnerabilidades de forma privada con el mantenedor de repositorios.

Note

Si el repositorio no tiene habilitada la generación de informes privados de vulnerabilidades, debes iniciar el proceso de generación de informes siguiendo las instrucciones de la directiva de seguridad del repositorio o crear una incidencia que solicite a los mantenedores un contacto de seguridad preferido. Para obtener más información, vea «Acerca de la divulgación coordinada de las vulnerabilidades de seguridad».