リポジトリのプライベート脆弱性レポートの構成

セキュリティの脆弱性を非公開で報告する方法について

セキュリティ リサーチャーは、多くの場合、脆弱性についてユーザーに通知しなくてはならないと感じますが、脆弱性は悪用されることがあります。 脆弱性を含むリポジトリのメンテナンス担当者に連絡するための明確な指示がない場合は、セキュリティ リサーチャーが、その脆弱性についてソーシャル メディアに投稿したり、メンテナンス担当者にダイレクト メッセージを送信したり、イシューを作成して公開したりするしかない場合があります。 このような状況では、脆弱性の詳細が広く知れわたってしまう可能性があります。

プライベート脆弱性レポートを使うと、セキュリティ研究者は簡単なフォームを使って脆弱性を直接報告できます。

セキュリティ研究者によって脆弱性が非公開で報告されると、通知を受け取って、承諾するか、さらに質問するか、拒否するかを選ぶことができます。 レポートを承諾した場合は、セキュリティ研究者と非公開で脆弱性の修正を共同で行う準備が整います。

メンテナンス担当者の場合、プライベート脆弱性レポートを使うと次のような利点があります。

• 問い合わせの内容が公開されたり、望ましくない手段で問い合わせを受けたりするリスクが軽減されます。
• 解決時と同じプラットフォームで簡単にレポートを受け取ることができます
• メンテナンス担当者に代わって、セキュリティ リサーチャーが、アドバイザリ レポートを作成するか、少なくとも開始します。
• アドバイザリについての議論と解決に使ったのと同じプラットフォームで、メンテナンス担当者がレポートを受け取ります。
• 脆弱性を多くの人々に知られる可能性が低くなります。
• 脆弱性の詳細について、非公開でセキュリティ リサーチャーと共に議論し、パッチを使って共同作業する機会。

リポジトリに関するプライベート脆弱性レポートの有効化と構成

1. GitHub.com で、リポジトリのメイン ページへ移動します。 1. リポジトリ名の下の [ 設定] をクリックします。

2. サイドバーの [セキュリティ] セクションで、 [コードのセキュリティと分析] をクリックします。

3. [プライベート脆弱性レポート] の右側にある [コードのセキュリティと分析] で、 [有効] または [無効] をクリックして、この機能を有効または無効にします。

   

メンテナンス担当者がリポジトリに対してプライベート脆弱性レポートを有効にすると、セキュリティ リサーチャーには、そのリポジトリの [アドバイザリ] ページに新しいボタンが表示されます。 セキュリティ リサーチャーがこのボタンをクリックすると、リポジトリのメンテナンス担当者に脆弱性を安全に報告できます。