Sicherheitslücken in der GitHub Advisory Database durchsuchen

Informationen zu Sicherheitslücken

Eine Sicherheitslücke ist ein Problem im Code eines Projekts, das ausgenutzt werden könnte, um die Vertraulichkeit, Integrität oder Verfügbarkeit des Projekts oder anderer Projekte, die seinen Code verwenden, zu beeinträchtigen. Vulnerabilities vary in type, severity, and method of attack.

GitHub will send you GitHub Dependabot alerts if we detect that any of the vulnerabilities from the GitHub Advisory Database affect the packages that your repository depends on. For more information, see "About alerts for vulnerable dependencies." |

Informationen zu GitHub Advisory Database

The GitHub Advisory Database contains a curated list of security vulnerabilities that have been mapped to packages tracked by the GitHub dependency graph. We add vulnerabilities to the GitHub Advisory Database from the following sources:

• Die National Vulnerability Database (Nationale Sicherheitsrisiken-Datenbank)
• Eine Kombination aus maschinellem Lernen und menschlichem Review zum Erkennen von Sicherheitsrisiken in öffentlichen Commits auf GitHub
• Security advisories reported on GitHub
• The npm Security advisories database
• FriendsOfPHP

Each security advisory contains information about the vulnerability, including the description, severity, affected package, package ecosystem, affected versions and patched versions, impact, and optional information such as references, workarounds, and credits. In addition, advisories from the National Vulnerability Database list contain a link to the CVE record, where you can read more details about the vulnerability, its CVSS scores, and its qualitative severity level. Weitere Informationen findest Du unter „National Vulnerability Database" (Nationale Schwachstellen-Datenbank) des 'National Institute of Standards and Technology' (Amerikanisches Nationales Institut für Standards und Technologie).

Es gibt vier mögliche Schweregrade, die im Common Vulnerability Scoring System (CVSS), Abschnitt 2.1.2 (Allgemeines Schwachstellen-Bewertungssystem) definiert sind:

• Niedrig
• Mittel
• Hoch
• Kritisch

The GitHub Advisory Database uses CVSS version 3.0 standards and the CVSS levels described above. GitHub doesn't publish CVSS scores.

Du kannst Dich auch GitHub Security Lab anschließen, um sicherheitsrelevante Themen zu durchsuchen und zu Sicherheitswerkzeugen und -Projekten beizutragen.

Zugriff auf einen Hinweis in der GitHub Advisory Database

1. Navigiere zu „https://github.com/advisories“.
2. Optionally, to filter the list, use any of the drop-down menus.
   
3. Klicke auf irgendeinen Hinweis, um die Details zu sehen.

Durchsuche die GitHub Advisory Database

Du kannst die Datenbank durchsuchen und mit den Qualifizierern Deine Suche auf Hinweise einschränken, die an einem bestimmten Datum, in einem bestimmten Ökosystem oder in einer bestimmten Bibliothek erstellt wurden.

Die Datumsformatierung muss dem ISO8601-Standard entsprechen, der YYYY-MM-DD (Jahr-Monat-Tag) ist. Du kannst nach dem Datum auch optionale Zeitinformationen THH:MM:SS+00:00 hinzufügen, um nach der Stunde, Minute und Sekunde zu suchen. Das ist T, gefolgt von HH:MM:SS (Stunden:Minuten:Sekunden) und einem UTC-Offset (+00:00).

Datumsangaben unterstützen „größer als", „kleiner als" und Bereichsqualifizierer.

Weiterführende Informationen

• Definition einer „Sicherheitslücke“ von MITRE