Como relatar de modo privado uma vulnerabilidade de segurança

Alguns repositórios públicos configuram avisos de segurança para que qualquer pessoa possa relatar vulnerabilidades de segurança de modo direto e privado aos mantenedores.

Quem pode usar esse recurso?

Anyone can privately report a security vulnerability to repository maintainers.

Proprietários e administradores de repositórios públicos podem habilitar relatórios de vulnerabilidades privados nos respectivos repositórios. Confira Como configurar relatórios privados de vulnerabilidades em um repositório.

Observação

  • Se você tiver permissões de administração ou de segurança para um repositório público, não precisará enviar um relatório de vulnerabilidade. Em vez disso, crie um rascunho de aviso de segurança diretamente. Consulte Criando uma consultoria de segurança do repositório.
  • O relatório privado de vulnerabilidades é separado do arquivo SECURITY.md de um repositório. Você só pode relatar vulnerabilidades privadamente para repositórios em que esse recurso está habilitado e você não precisa seguir as instruções em SECURITY.md.

Se um repositório público tiver relatórios de vulnerabilidades privados habilitados, qualquer pessoa poderá enviar um relatório de vulnerabilidade privada para os mantenedores do repositório.

Se o repositório não tiver relatórios de vulnerabilidades privados habilitados, você precisará iniciar o processo de relatório seguindo as instruções na política de segurança do repositório ou criando um problema solicitando aos mantenedores um contato de segurança preferencial. Consulte Divulgação coordenada de vulnerabilidades de segurança.

  1. Em GitHub, acesse a página principal do repositório.

  2. No nome do repositório, clique na Security and quality guia. Se você não conseguir ver a guia " Security and quality", selecione o menu suspenso e clique em Security and quality.

  3. Clique em Relatar uma vulnerabilidade para abrir o formulário de aviso.

  4. Preencha o formulário de detalhes do aviso.

    Dica

    Nesse formulário, somente o título e a descrição são obrigatórios. (No formulário geral de rascunho de aviso de segurança, iniciado pelo mantenedor do repositório, também é necessário especificar o ecossistema.) No entanto, recomendamos que os pesquisadores de segurança forneçam o máximo de informações possível no formulário para que os mantenedores possam tomar uma decisão embasada sobre o relatório enviado. Você pode adotar o modelo usado por nossos pesquisadores de segurança a partir de GitHub Security Lab, que está disponível no repositório github/securitylab.

    Para obter mais informações sobre os campos disponíveis e as diretrizes sobre como preencher o formulário, confira Criando uma consultoria de segurança do repositório e Práticas recomendadas para gravar avisos de segurança do repositório.

  5. Na parte inferior do formulário, clique em Enviar relatório. GitHub exibirá uma mensagem informando que os mantenedores foram notificados e que você tem um crédito pendente para este aviso de segurança.

    Dica

    Quando o relatório é enviado, GitHub adiciona automaticamente o repórter da vulnerabilidade como colaborador e como um usuário creditado na consultoria proposta.

  6. Opcionalmente, clique em Iniciar um fork privado temporário se quiser começar a corrigir o problema. Observe que somente o mantenedor do repositório pode mesclar as alterações do fork privado com o repositório pai.

    Captura de tela do final de um aviso de segurança. Um botão, com o texto "Start a temporary fork", está destacado com um contorno laranja-escuro.

As próximas etapas dependem da ação executada pelo mantenedor do repositório. Consulte Gerenciar vulnerabilidades de segurança relatadas privadamente.