Como relatar de modo privado uma vulnerabilidade de segurança

Alguns repositórios públicos configuram avisos de segurança para que qualquer pessoa possa relatar vulnerabilidades de segurança de modo direto e privado aos mantenedores.

Quem pode usar esse recurso?

Anyone can privately report a security vulnerability to repository maintainers.

Proprietários e administradores de repositórios públicos podem habilitar relatórios de vulnerabilidades privados nos respectivos repositórios. Para saber mais, confira Como configurar relatórios privados de vulnerabilidades em um repositório.

Observação

  • Se você tiver permissões de administração ou de segurança para um repositório público, não precisará enviar um relatório de vulnerabilidade. Em vez disso, crie um rascunho de aviso de segurança diretamente. Confira Criando uma consultoria de segurança do repositório.
  • O relatório privado de vulnerabilidades é separado do arquivo SECURITY.md de um repositório. Você só pode relatar vulnerabilidades privadamente para repositórios em que esse recurso está habilitado e você não precisa seguir as instruções em SECURITY.md.

Se um repositório público tiver relatórios de vulnerabilidades privados habilitados, qualquer pessoa poderá enviar um relatório de vulnerabilidade privada para os mantenedores do repositório. Os usuários também podem avaliar a segurança geral de um repositório público e sugerir uma política de segurança. Confira Como avaliar as configurações de segurança de um repositório.

Se o repositório não tiver relatórios de vulnerabilidades privados habilitados, você precisará iniciar o processo de relatório seguindo as instruções na política de segurança do repositório ou criando um problema solicitando aos mantenedores um contato de segurança preferencial. Confira Sobre a divulgação coordenada de vulnerabilidades de segurança.

  1. Em GitHub, acesse a página principal do repositório.

  2. Abaixo do nome do repositório, clique em Security. Caso não consiga ver a guia "Security", selecione o menu suspenso e clique em Security.

    Captura de tela de um cabeçalho de repositório que mostra as guias. A guia "Segurança" é realçada por um contorno laranja escuro.

  3. Clique em Relatar uma vulnerabilidade para abrir o formulário de aviso.

  4. Preencha o formulário de detalhes do aviso.

    Dica

    Nesse formulário, somente o título e a descrição são obrigatórios. (No formulário geral de aviso de segurança de rascunho, iniciado pelo mantenedor do repositório, a especificação do ecossistema também é obrigatória). No entanto, recomendamos que os pesquisadores de segurança forneçam o máximo de informações possível no formulário para que os mantenedores possam tomar uma decisão informada sobre o relatório enviado. Você pode adotar o modelo usado por nossos pesquisadores de segurança do GitHub Security Lab, que está disponível no repositório github/securitylab.

    Para obter mais informações sobre os campos disponíveis e as diretrizes sobre como preencher o formulário, confira Criando uma consultoria de segurança do repositório e Práticas recomendadas para gravar avisos de segurança do repositório.

  5. Na parte inferior do formulário, clique em Enviar relatório. O GitHub exibirá uma mensagem informando que os mantenedores foram notificados e que você tem um crédito pendente para esse aviso de segurança.

    Dica

    Quando o relatório é enviado, o GitHub adiciona automaticamente o relator da vulnerabilidade como colaborador e como um usuário creditado no aviso proposto.

  6. Opcionalmente, clique em Iniciar um fork privado temporário se quiser começar a corrigir o problema. Observe que somente o mantenedor do repositório pode mesclar as alterações do fork privado com o repositório pai.

    Captura de tela do final de um aviso de segurança. Um botão, rotulado "Iniciar um fork temporário", está contornado em laranja escuro.

As próximas etapas dependem da ação executada pelo mantenedor do repositório. Confira Gerenciar vulnerabilidades de segurança relatadas privadamente.