Remarque : Cet article s’applique à la modification des avis au niveau du dépôt par un propriétaire dedépôt public.
Les utilisateurs qui ne sont pas propriétaires de dépôt peuvent contribuer aux avis de sécurité généraux dans la GitHub Advisory Database sur github.com/advisories. Les modifications des avis globaux ne changent pas ou n’affectent pas la façon dont l’avis apparaît sur le dépôt. Pour plus d’informations, consultez « Modification des avis de sécurité dans la base de données d’avis de GitHub ».
Modification d’un avis de sécurité
Vous pouvez également utiliser l’API REST pour modifier les avis de sécurité des référentiels. Pour plus d’informations, consultez « Points de terminaison d’API REST pour les avis de sécurité de référentiels ».
-
Sur GitHub, accédez à la page principale du référentiel.
-
Sous le nom du dépôt, cliquez sur Sécurité. Si vous ne voyez pas l’onglet « Sécurité », sélectionnez le menu déroulant et cliquez sur Sécurité.
-
Dans la barre latérale gauche, sous « Rapports », cliquez sur Avis.
-
Dans la liste « Avis de sécurité », cliquez sur le nom de l’avis de sécurité que vous souhaitez modifier.
-
Dans le coin supérieur droit des détails de l’avis de sécurité, cliquez sur Modifier l’avis. Le formulaire d’avis de sécurité s’ouvre alors en mode d’édition.
-
Utilisez le menu déroulant Identificateur CVE pour spécifier si vous disposez déjà d’un identificateur CVE ou si vous prévoyez d’en demander un à GitHub ultérieurement. Si vous disposez d’un identificateur CVE existant, sélectionnez J’ai un identificateur CVE existant pour afficher un champ CVE existant, puis tapez l’identificateur CVE dans le champ. Pour plus d’informations, consultez « À propos des avis de sécurité des référentiels ».
-
Dans le champ Description, tapez une description de la vulnérabilité de sécurité, y compris son impact, tous les correctifs ou solutions de contournement disponibles et toutes les références.
-
Sous « Produits affectés », définissez l’écosystème, le nom du package, les versions affectées/corrigées et les fonctions vulnérables pour la vulnérabilité de sécurité décrite dans cet avis de sécurité. Le cas échéant, vous pouvez ajouter plusieurs produits affectés au même avis en cliquant sur Ajouter un autre produit affecté.
Pour plus d’informations sur la façon de spécifier des informations sur le formulaire, y compris les versions affectées, consultez « Meilleures pratiques pour l’écriture des avis de sécurité de référentiels ».
-
Définissez la gravité de la vulnérabilité de sécurité à l’aide du menu déroulant Gravité. Si vous souhaitez calculer un score CVSS, sélectionnez Évaluer la gravité à l’aide de CVSS, puis sélectionnez les valeurs appropriées dans le calculateur. GitHub calcule le score à l’aide du calculateur CVSS (Common Vulnerability Scoring System).
-
Sous « Faiblesses », dans le champ Énumérateur de faiblesse commun, tapez les énumérateurs de faiblesse communs (SCF) qui décrivent les types de faiblesses de sécurité signalés par cet avis de sécurité. Pour obtenir la liste complète des énumérateurs de failles courantes, consultez la section « Common Weakness Enumeration » de MITRE.
-
Si vous le souhaitez, sous « Crédits », supprimez les crédits existants ou utilisez la zone de recherche pour trouver d’autres personnes que vous souhaitez créditer dans l’avis de sécurité, puis cliquez sur leur nom d’utilisateur pour les ajouter.
-
Utilisez le menu déroulant en regard du nom de la personne que vous créditez pour attribuer un type de crédit. Pour plus d’informations sur les types de crédit, consultez « Création d’un avis de sécurité de dépôt ».
-
Si vous le souhaitez, pour supprimer une personne, cliquez sur à côté du type de crédit.
-
-
Cliquez sur Mettre à jour l’avis de sécurité.
Les personnes listées dans la section « Crédits » recevront un e-mail ou une notification web les invitant à accepter le crédit. Si une personne accepte, son nom d’utilisateur est visible publiquement une fois que l’avis de sécurité est publié.