Einen Sicherheitshinweis veröffentlichen

Personen mit Administratorberechtigungen für einen Sicherheitshinweis können den Hinweis veröffentlichen.

Voraussetzungen

Bevor Du einen Sicherheitshinweis veröffentlichen oder eine CVE-Identifikationsnummer anfordern kannst, musst Du einen Entwurf des Sicherheitshinweises erstellen und Informationen über die Versionen Deines Projekts bereitstellen, die von der Sicherheitslücke betroffen sind. Weitere Informationen findest Du unter „Einen Sicherheitshinweis erstellen."

Wenn Du einen Sicherheitshinweis erstellt hast, aber noch keine Details über die Versionen Deines Projekts angegeben hast, die von der Sicherheitslücke betroffen sind, kannst Du den Sicherheitshinweis bearbeiten. Weitere Informationen findest Du unter „Einen Sicherheitshinweis bearbeiten."

Über das Veröffentlichen eines Sicherheitshinweises

Wenn Du einen Sicherheitshinweis veröffentlichst, informierst Du Deine Community über die Sicherheitslücke, die im Sicherheitshinweis adressiert wird. Die Veröffentlichung eines Sicherheitshinweises erleichtert es Deiner Community, die Paket-Abhängigkeiten zu aktualisieren und die Auswirkungen der Sicherheitslücke zu untersuchen.

Du kannst auch GitHub Security Advisories verwenden, um die Details einer bereits an einer anderen Stelle offen gelegten Sicherheitslücke erneut zu veröffentlichen, indem Du die Details der Sicherheitslücke kopierst und in eine neue Sicherheitsempfehlung einfügst.

Bevor Du einen Sicherheitshinweis veröffentlichst, kannst Du privat mit anderen zusammenarbeiten, um die Sicherheitslücke in einem temporären privaten Fork zu beheben. Weitere Informationen findest Du unter „In einem temporären privaten Fork zusammenarbeiten, um eine Sicherheitslücke zu beheben.“

Die Veröffentlichung eines Sicherheitshinweises verändert die URL für diesen Sicherheitshinweis nicht, sie bleibt gleich wie vor der Veröffentlichung. Personen mit Lesezugriff auf ein Repository können Sicherheitshinweise sehen. Mitarbeiter am Sicherheitshinweis können vergangene Gespräche weiterhin im Sicherheitshinweis anzeigen, es sei denn, eine Person mit Administratorberechtigungen entfernt den Mitarbeiter aus dem Sicherheitshinweis.

Wenn Du Informationen in einem von Dir veröffentlichten Sicherheitshinweis aktualisieren oder korrigieren musst, kannst Du den Hinweis bearbeiten. Weitere Informationen findest Du unter „Einen Sicherheitshinweis bearbeiten."

CVE-Identifikationsnummer anfordern

Personen mit Administratorberechtigungen auf einem Sicherheitshinweis können einen CVE-Identifikationsnummer für den Hinweis anfordern.

Wenn Du noch keine CVE-Identifikationsnummer für die Sicherheitslücke in Deinem Projekt hast, kannst Du eine CVE-Identifikationsnummer bei GitHub anfordern. Eine CVE-Identifikationsnummer zuzuweisen dauert in der Regel 72 Stunden oder weniger. Weitere Informationen findest Du unter „Über GitHub Security Advisories."

1. Navigiere in GitHub zur Hauptseite des Repository.
2. Klicke unter Deinem Repository-Namen auf Security (Sicherheit).
   
3. In the left sidebar, click Security advisories.
   
4. Klicke in der Liste „Security Advisories" (Sicherheitshinweise) auf den Hinweis für den Du eine CVE-Identifikationsnummer anfordern möchtest.
   
5. Benutze das Publish advisory (Hinweis veröffentlichen) Dropdownmenü und klicke auf Request CVE (CVE-Identifikationsnummer anfordern).
   
6. Klicke auf Request CVE (CVE-Identifikationsnummer anfordern).
   

Einen Sicherheitshinweis veröffentlichen

Die Veröffentlichung eines Sicherheitshinweises löscht den temporären privaten Fork für den Sicherheitshinweis.

1. Navigiere in GitHub zur Hauptseite des Repository.
2. Klicke unter Deinem Repository-Namen auf Security (Sicherheit).
   
3. In the left sidebar, click Security advisories.
   
4. Klicke in der Liste „Security Advisories“ (Sicherheitshinweise) auf den Hinweis, den Du veröffentlichen möchtest.
   
5. Klicke unten auf der Seite auf Publish advisory (Hinweis veröffentlichen).
   

Sicherheitswarnungen für veröffentlichte Sicherheitshinweise

GitHub wird jeden veröffentlichten Sicherheitshinweis überprüfen, wird ihn der GitHub Advisory Database hinzufügen und kann den Sicherheitshinweis einsetzen, um Sicherheitsmeldungen an betroffene Repositorys zu senden. Wenn der Sicherheitshinweis von einer Fork kommt, senden wir nur dann eine Warnung, wenn der Fork ein Paket besitzt, das unter einem eineindeutigen Namen in einem öffentlichen Paket-Registry veröffentlicht wurde. Dieser Prozess kann bis zu 72 Stunden dauern und GitHub kann Dich für weitere Informationen kontaktieren.

Weitere Informationen über Sicherheitsmeldungen findest Du unter „Über Sicherheitshinweise für angreifbare Abhängigkeiten." Weiter Informationen über die GitHub Advisory Database findest Du unter „Durchsuchen von Sicherheitslücken in der GitHub Advisory Database."

Weiterführende Informationen

• „Einen Sicherheitshinweis zurückziehen"