Innersource アドバイザリ

innersource アドバイザリについて

GitHub Advisory Databaseは、セキュリティの脆弱性に関するアラート情報の一元的なソースを提供します。脆弱なオープンソースコンポーネントに関するアドバイザリが公開されると、DependabotはGitHubの依存関係グラフを使用してそのコンポーネントを使用しているリポジトリを検索し、アラートとプル要求を送信してリポジトリの所有者に通知し、影響を受けるコードを脆弱性を修正する新しいバージョンに更新します。

企業は、同じメカニズムを使用してアラートを作成し、内部で検出された脆弱性に関する更新プログラムを送信できます。 Innersource アドバイザリでは、パブリックアドバイザリと同様のオープンソース脆弱性 (OSV) データ形式が使用されますが、パブリックには表示されません。スコープは 1 つのエンタープライズであるため、そのエンタープライズ内のリポジトリにのみアラートを伝達します。 innersource アドバイザリの対象は内部コンポーネントでもオープンソースコンポーネントでもかまいません。これにより、企業は公開やアラートに関係なく修正プログラムをプッシュできます。

innersource アドバイザリを作成できるユーザー

Innersource アドバイザリは、アクティブな GitHub Code Security または GitHub Advanced Security ライセンスを持つ企業でのみ作成できます。ライセンスの有効期限が切れた場合、または GitHub Code Security が無効になっている場合、アドバイザリは表示されなくなり、アラートは伝達されません。ただし、基になるデータは削除されず、ライセンスを再アクティブ化すると、既存のアドバイザリが復元されます。