セキュリティの脆弱性を非公開で報告する

パブリックリポジトリの所有者と管理者は、リポジトリでプライベート脆弱性レポートを有効にすることができます。詳しくは、「リポジトリのプライベート脆弱性レポートの構成」を参照してください。

Note

パブリックリポジトリの管理者またはセキュリティのアクセス許可がある場合、脆弱性レポートを送信する必要はありません。代わりに、ドラフトセキュリティアドバイザリを直接作成できます。詳しくは、「リポジトリセキュリティアドバイザリの作成」を参照してください。
リポジトリの脆弱性を非公開で報告できるかどうかは、そのリポジトリのルートや docs ディレクトリに SECURITY.md ファイルが存在することとは関係がありません。
- SECURITY.md ファイルにはリポジトリのセキュリティポリシーが含まれています。リポジトリ管理者はこのファイルを追加し、使うことで、リポジトリのセキュリティの脆弱性を報告する方法について_公開_の手順を指定できます。詳しくは、「リポジトリへのセキュリティポリシーの追加」を参照してください。
- 脆弱性を非公開で報告できるのは、非公開の脆弱性レポートが有効なリポジトリに対してのみであり、SECURITY.mdファイルの指示に従う必要はありません。この報告プロセスは完全に非公開であり、送信内容は GitHub からリポジトリ管理者に直接通知されます。

セキュリティの脆弱性を非公開で報告する方法について

セキュリティリサーチャーは、多くの場合、脆弱性についてユーザーに通知しなくてはならないと感じますが、脆弱性は悪用されることがあります。脆弱性を含むリポジトリのメンテナンス担当者に連絡するための明確な指示がない場合は、セキュリティリサーチャーが、その脆弱性についてソーシャルメディアに投稿したり、メンテナンス担当者にダイレクトメッセージを送信したり、イシューを作成して公開したりするしかない場合があります。このような状況では、脆弱性の詳細が広く知れわたってしまう可能性があります。

プライベート脆弱性レポートを使用すると、セキュリティリサーチャーは簡単なフォームを使用してリポジトリの保守担当者に脆弱性を直接報告できます。

セキュリティリサーチャーの場合、プライベート脆弱性レポートを使うと次のような利点があります。

フラストレーションが少なく、保守担当者に連絡する方法を把握するのに費やす時間も少なくなります。
脆弱性の詳細を開示して話し合うためのよりスムーズなプロセス。
リポジトリメンテナと非公開で脆弱性の詳細について話し合う機会。

注: リポジトリでプライベート脆弱性レポートが有効になっていない場合は、リポジトリのセキュリティポリシーの手順に従ってレポートプロセスを開始するか、優先されるセキュリティ連絡先を保守担当者に尋ねるイシューを作成する必要があります。詳しくは、「セキュリティ脆弱性の調整された開示について」を参照してください。