Skip to main content
Nous publions des mises à jour fréquentes de notre documentation, et la traduction de cette page peut encore être en cours. Pour obtenir les informations les plus actuelles, consultez la documentation anglaise.

Création d’un avis de sécurité de dépôt

Vous pouvez créer un brouillon d’avis de sécurité pour discuter en privé et corriger une vulnérabilité de sécurité dans votre projet open source.

Toute personne disposant d’autorisations d’administrateur sur un dépôt peut créer un avis de sécurité.

Remarque : Si vous êtes chercheur en sécurité, vous devez contacter directement les mainteneurs pour leur demander de créer des avis de sécurité ou d’émettre des CVE en votre nom dans les dépôts que vous n’administrez pas. Toutefois, si les rapports de vulnérabilités privés sont activés pour le dépôt, vous pouvez signaler vous-même une vulnérabilité en privé. Pour plus d’informations, consultez « Signalement privé d’une vulnérabilité de sécurité ».

Création d’un avis de sécurité

  1. Dans GitHub.com, accédez à la page principale du dépôt. 1. Sous le nom du dépôt, cliquez sur Sécurité. Onglet Sécurité 1. Dans la barre latérale gauche, sous « Rapports », cliquez sur Advisories.

  2. Cliquez sur Nouveau brouillon d’avis de sécurité pour ouvrir le formulaire de brouillon d’avis. Les champs marqués d’un astérisque sont obligatoires. Bouton Ouvrir le brouillon d’avis

  3. Tapez un titre pour votre avis de sécurité.

  4. Sous « Produits affectés », définissez l’écosystème, le nom du package, les versions affectées/corrigées et les fonctions vulnérables pour la vulnérabilité de sécurité décrite dans cet avis de sécurité. Le cas échéant, vous pouvez ajouter plusieurs produits affectés au même avis en cliquant sur Ajouter un autre produit affecté.

    Pour plus d’informations sur la façon de spécifier des informations sur le formulaire, y compris les versions affectées, consultez « Meilleures pratiques pour l’écriture des avis de sécurité de référentiels ». 1. Définissez la gravité de la vulnérabilité de sécurité à l’aide du menu déroulant Gravité. Si vous souhaitez calculer un score CVSS, sélectionnez Évaluer la gravité à l’aide de CVSS, puis sélectionnez les valeurs appropriées dans le calculateur. GitHub calcule le score à l’aide du calculateur CVSS (Common Vulnerability Scoring System). 1. Ajoutez des énumérateurs de failles courantes pour les types de failles de sécurité traités dans cet avis de sécurité. Pour obtenir la liste complète des énumérateurs de failles courantes, consultez la section « Common Weakness Enumeration » de MITRE.

  5. Si vous avez un identificateur CVE existant, sélectionnez « J’ai un identificateur CVE » et tapez l’identificateur CVE dans la zone de texte. Sinon, vous pouvez demander un CVE sur GitHub par la suite. Pour plus d’informations, consultez « À propos des avis de sécurité des référentiels ». 1. Dans le champ Description, tapez une description de la vulnérabilité de sécurité, y compris son impact, tous les correctifs ou solutions de contournement disponibles et toutes les références.

  6. Cliquez sur Créer un brouillon d’avis de sécurité. Bouton Créer un avis de sécurité

Étapes suivantes