Skip to main content
Publicamos atualizações frequentes em nossa documentação, e a tradução desta página ainda pode estar em andamento. Para obter as informações mais recentes, acesse a documentação em inglês. Se houver problemas com a tradução desta página, entre em contato conosco.

Visualizando e atualizando alertas do Dependabot

Se o GitHub Enterprise Cloud descobrir dependências vulneráveis no seu projeto, você poderá visualizá-las na aba de alertas do Dependabot no seu repositório. Em seguida, você pode atualizar seu projeto para resolver ou descartar a vulnerabilidade.

Repository administrators and organization owners can view and update dependencies, as well as users and teams with explicit access.

A aba de Alertas do Dependabot do seu repositório lista todos os Alertas do Dependabot abertos e fechados correspondentes a Atualizações de segurança do Dependabot. Você pode filtrar alertas por pacote, ecossistema ou manifesto. Você também pode ordernar a lista de alertas, além de poder clicar em alertas específicos para mais detalhes. Para obter mais informações, consulte "Sobre Alertas do Dependabot".

É possível habilitar atualizações de segurança automáticas para qualquer repositório que usa o Alertas do Dependabot e o gráfico de dependências. Para obter mais informações, consulte "Sobre Atualizações de segurança do Dependabot."

Além disso, GitHub pode revisar todas as dependências adicionadas, atualizadas ou removidas em um pull request feita para o branch padrão de um repositório e sinalizar quaisquer alterações que introduziriam uma vulnerabilidade no seu projeto. Isso permite que você detecte e gerencie as dependências vulneráveis antes, e não depois, de elas alcançarem seu código. Para obter mais informações, consulte "Revisar as mudanças de dependências em um pull request".

Sobre atualizações para dependências vulneráveis no seu repositório

GitHub Enterprise Cloud gera Alertas do Dependabot quando detectamos que sua base de código está usando dependências com vulnerabilidades conhecidas. Para repositórios em que Atualizações de segurança do Dependabot estão habilitados, quando GitHub Enterprise Cloud detecta uma dependência vulnerável no branch padrão, Dependabot cria um pull request para corrigi-la. O pull request irá atualizar a dependência para a versão minimamente segura possível, o que é necessário para evitar a vulnerabilidade.

Você pode classificar e filtrar Alertas do Dependabot com os menus suspensos na aba Alertas do Dependabot ou digitando filtros como pares de key:value na barra de pesquisa. Os filtros disponíveis são repositório (por exemplo, repo:my-repository), pacote (por exemplo package:django), ecossistema (por exemplo, ecosystem:npm), manifesto (por exemplo, manifest:webwolf/pom.xml), status (for example, is:open), e se uma consultoria tem uma atualização (por exemplo, has: patch).

Cada alerta de Dependabot tem um identificador único de número e a aba de Alertas do Dependabot lista um alerta para cada vulnerabilidade detectada. O legado de Alertas do Dependabot agrupou as vulnerabilidades por dependência e gerou um único alerta por dependência. Se você acessar um alerta de legado Dependabot, você será redirecionado para uma aba de Alertas do Dependabot filtrada para esse pacote.

Sobre a detecção de chamadas para funções vulneráveis

Notas:

  • The detection of calls to vulnerable functions by Dependabot is in beta and subject to change.

  • Detection of vulnerable calls is included in GitHub Enterprise Cloud for public repositories. To detect vulnerable calls in private repositories owned by organizations, your organization must have a license for Segurança Avançada GitHub. Para obter mais informações, consulte "Sobre Segurança Avançada GitHub".

Quando Dependabot disser que seu repositório usa uma dependência vulnerável, você deverá determinar quais são as funções vulneráveis e verificar se você as está usando. Com essa informação, você poderá determinar o quão urgente você precisa para atualizar para uma versão segura da dependência.

Para as linguagens compatíveis, Dependabot detecta automaticamente se você usa uma função vulnerável e adiciona a etiqeuta de "Chamada vulnerável" aos alertas afetados. Você pode usar estas informações na exibição de Alertas do Dependabot para triar e priorizar o trabalho de correção de forma mais eficaz.

Observação: Durante a versão beta, esse recurso está disponível apenas para novas consultorias do Python criadas depois de 14 de abril de 2022 e para um subconjunto de consultorias históricas do Python. O GitHub está trabalhando para preencher dados de backfill através de consultorias históricas no Python, que são adicionadas regularmente. As chamadas vulneráveis são destacadas apenas nas páginas de Alertas do Dependabot.

Captura de tela que mostra um alerta com a etiqueta "Chamada vulnerável"

Você pode filtrar a visualização para mostrar apenas alertas em que Dependabot detectou pelo menos uma chamada para uma função vulnerável usando o filtro has:vulnerable-calls no campo de busca.

Para alertas quando chamadas vulneráveis forem detectadas, a página de detalhes de alerta mostra informações adicionais:

  • Um bloco de código que mostra onde a função é usada ou, onde houver várias chamadas, a primeira chamada para a função.
  • Uma anotação que lista a função em si, com um link para a linha onde a função é chamada.

Captura de tela que mostra a página de detalhes de alerta para um alerta com uma etiqueta "chamada vulnerável"

Para obter mais informações, consulte "Eevisando e corrigindo dependências vulneráveis" abaixo.

Visualizando dependências vulneráveis

  1. No GitHub.com, navegue até a página principal do repositório.
  2. No seu nome de repositório, clique em Segurança. Guia de segurança
  3. Na barra lateral de segurança, clique em Alertas do Dependabot. If this option is missing, it means you don't have access to security alerts and need to be given access. For more information, see "Managing security and analysis settings for your repository." Alertas do Dependabot tab
  4. Opcionalmente, para filtrar alertas, selecione o menu suspenso Repositório, Pacote, Ecossistema ou Manifesto e clique no filtro que você gostaria de aplicar. Você também pode digitar filtros na barra de pesquisa. Por exemplo, ecosystem:npm ou has:patch. Para ordenar alertas, selecione o menu suspenso Ordenar e clique na opção que deseja ordenar. Captura de tela dos menus filtro e ordenação na aba de Alertas do Dependabot
  5. Clique no alerta que você deseja visualizar. Alerta selecionado na lista de alertas

Revisando e corrigindo dependências vulneráveis

É importante garantir que todas as suas dependências estejam limpas de qualquer fraqueza de segurança. Quando Dependabot descobrir vulnerabilidades em suas dependências, você deverá avaliar o nível de exposição do seu projeto e determinar quais medidas de correção devem ser tomadas para proteger seu aplicativo.

Se uma versão alterada estiver disponível, é possível gerar um pull request de Dependabot para atualizar essa dependência diretamente de um alerta do Dependabot. Se você tiver Atualizações de segurança do Dependabot habilitado, o pull request poderá estar vinculado ao alerta do Dependabot.

Nos casos em que uma versão alterada não está disponível ou em que você não puder atualizar para a versão segura, Dependabot irá compartilhar informações adicionais para ajudar você a determinar as próximas etapas. Ao clicar para ver um alerta de Dependabot, você pode ver todos os detalhes da consultoria de segurança para a dependência, incluindo as funções afetadas. Você pode então verificar se seu código chama as funções afetadas. Essa informação pode ajudar você a avaliar seu nível de risco e determinar soluções alternativas ou se você pode aceitar o risco representado pela vulnerabilidade de segurança.

Para as linguagens compatíveis, Dependabot detecta chamadas para funções vulneráveis para você. Ao ver um alerta marcado como "Chamada vulnerável", os detalhes incluem o nome da função e um link para o código que a chama. Muitas vezes, é possível tomar decisões com base nestas informações, sem ter de continuar explorando.

Corrigir dependências vulneráveis

  1. Ver detalhes de um alerta. Para obter mais informações, consulte "Visualizando dependências vulneráveis" (acima).

  2. Se você tiver Atualizações de segurança do Dependabot habilitado, é possível que haja um link para um pull request que irá corrigir a dependência. Como alternativa, você pode clicar em Criar Dependabot atualização de segurança na parte superior da página de detalhes do alerta para criar um pull request. Crie um botão de atualização de segurança do Dependabot

  3. Opcionalmente, se você não usar Atualizações de segurança do Dependabot, você pode usar as informações na página para decidir para qual versão de dependência atualizar e criar um pull request para atualizar a dependência de uma versão segura.

  4. Quando estiver pronto para atualizar a dependência e resolver a vulnerabilidade, faça merge da pull request.

    Cada pull request criado por Dependabot inclui informações sobre os comandos que você pode usar para controlar Dependabot. Para obter mais informações, consulte "Gerenciar pull requests para atualizações de dependências".

Ignorando Alertas do Dependabot

Se você agendar um extenso trabalho para atualizar uma dependência ou decidir que um alerta não precisa ser corrigido, você poderá ignorar o alerta. Ignorando alertas que você já avaliou facilita a triagem de novos alertas conforme eles aparecem.

  1. Ver detalhes de um alerta. Para obter mais informações, consulte "Visualizando dependências vulneráveis" (acima).
  2. Selecione o menu suspenso "Ignorar" e clique em um motivo para ignorar o alerta. Alertas não descartados podem ser reabertos posteriormente. Escolher o motivo para ignorar o alerta a partir do menu suspenso "Ignorar"down

Visualizando e atualizando alertas fechados

  1. No GitHub.com, navegue até a página principal do repositório.
  2. No seu nome de repositório, clique em Segurança. Guia de segurança
  3. Na barra lateral de segurança, clique em Alertas do Dependabot. If this option is missing, it means you don't have access to security alerts and need to be given access. For more information, see "Managing security and analysis settings for your repository." Alertas do Dependabot tab
  4. Para visualizar os alertas fechados, clique em Fechado. Captura de tela que mostra a opção "Fechado"
  5. Clique no alerta que deseja ver ou atualizar. Captura de tela que mostra um alerta do dependabot destacado
  6. Opcionalmente, se o alerta foi descartado e você deseja reabri-lo, clique em Reabrir. Captura de tela que mostra o botão "Reabrir"