Privately reporting a security vulnerability

パブリック リポジトリの所有者と管理者は、リポジトリでプライベート脆弱性レポートを有効にすることができます。 詳しくは、「Configuring private vulnerability reporting for a repository」をご覧ください。

About privately reporting a security vulnerability

Security researchers often feel responsible for alerting users to a vulnerability that could be exploited. If there are no clear instructions about contacting maintainers of the repository containing the vulnerability, security researchers may have no other choice but to post about the vulnerability on social media, send direct messages to the maintainer, or even create public issues. This situation can potentially lead to a public disclosure of the vulnerability details.

Private vulnerability reporting makes it easy for security researchers to report vulnerabilities directly to the repository maintainer using a simple form.

For security researchers, the benefits of using private vulnerability reporting are:

• Less frustration, and less time spent trying to figure out how to contact the maintainer.
• A smoother process for disclosing and discussing vulnerability details.
• The opportunity to discuss vulnerability details privately with the repository maintainer.

Privately reporting a security vulnerability

If a public repository has private vulnerability reporting enabled, anyone can privately report a security vulnerability to repository maintainers. Users can also evaluate the general security of a public repository and suggest a security policy. For more information, see Evaluating the security settings of a repository.

1. GitHub で、リポジトリのメイン ページに移動します。

2. リポジトリ名の下にある [Security] をクリックします。 [Security] タブが表示されない場合は、 ドロップダウン メニューを選んでから、[Security] をクリックします。

   

3. [脆弱性の報告] をクリックして、アドバイザリ フォームを開きます。

4. アドバイザリの詳細フォームに入力します。

   ヒント

   このフォームでは、タイトルと説明のみが必須です。 (リポジトリの保守担当者が開始する一般的なドラフト セキュリティ アドバイザリ フォームでは、エコシステムを指定する必要もあります)。ただし、セキュリティ リサーチャーは、送信されたレポートに関して保守担当者が情報に基づいた意思決定を行えるように、フォームにできるだけ多くの情報を提供することをお勧めします。 GitHub のセキュリティ研究者が使ったテンプレートを、github/securitylab リポジトリで利用できる GitHub Security Lab から採用できます。

   使用可能なフィールドの詳細と、フォームの入力に関するガイダンスについては、「Creating a repository security advisory」と「Best practices for writing repository security advisories」を参照してください。

5. フォームの下部にある [レポートの送信] をクリックします。 GitHub には、保守担当者に通知されたことと、このセキュリティ アドバイザリの保留中のクレジットがあることを知らせるメッセージが表示されます。

   ヒント

   レポートが送信されると、GitHub によって、コラボレーターとして、また提案されたアドバイザリのクレジット ユーザーとして脆弱性の報告者が自動的に追加されます。

6. 必要に応じて、issue の解決を開始する場合は、 [一時的なプライベート フォークを開始する] をクリックします。 そのプライベート フォークからの変更を親リポジトリにマージできるのは、リポジトリ メンテナだけです。

   

The next steps depend on the action taken by the repository maintainer. For more information, see Managing privately reported security vulnerabilities.