비공개 취약점 신고용 구조화 양식
비공개 취약점 신고에 summary, details, proof of concept, impact를 받는 구조화 양식을 기본 적용합니다.
교안에 영향
기존에 비공개 취약점 신고를 단일 자유 입력칸으로 안내한 문서는 이제 summary, details, proof of concept, impact 입력과 사용자 정의 양식 적용을 반영해야 합니다.
요약
- 비공개 취약점 신고에 구조화된 양식을 도입해 reporter가 summary, details, proof of concept, impact를 입력하도록 합니다. - proof of concept는 최소 150자 이상이어야 하며, 답변은 advisory description에 합쳐집니다. - .github/VULNERABILITY_REPORT.yml로 양식을 맞춤 설정할 수 있고, 유효하지 않으면 기본 양식이 사용됩니다. - reporter가 CWE를 지정하도록 요구할 수 있으며, SECURITY.md 링크 배너와 AI 사용 고지 체크박스가 추가됩니다. - REST API 제출은 사용자 정의 양식과 일치해야 하며, 비공개 취약점 신고는 지원되는 공개 저장소에서 사용할 수 있습니다.
바뀐 것
새 기능
- 비공개 취약점 신고에 reporter가 summary, details, proof of concept, impact를 입력하는 구조화 양식을 기본 적용합니다.
- .github/VULNERABILITY_REPORT.yml 파일로 양식을 맞춤 설정할 수 있으며, 조직이나 계정의 .github 저장소에도 적용할 수 있습니다.
- Settings > Advanced Security > Private vulnerability reporting에서 reporter에게 CWE 선택을 요구할 수 있고, 조직 및 기업 소유자는 정책으로 이를 강제할 수 있습니다.
- 저장소에 security policy가 있으면 reporter가 제출 전에 SECURITY.md로 연결되는 배너를 봅니다.
- reporter가 "I used AI assistance to find or write up this report"를 선택해 AI 사용을 고지할 수 있습니다.
- 사용자 정의 양식을 추가하면 REST API 제출도 그 양식과 일치해야 하며, 불일치 시 새 엔드포인트를 가리키는 오류가 반환됩니다.
개선
- proof of concept에 최소 150자 조건을 두어 신고 품질을 높일 수 있습니다.
기타
- 비공개 취약점 신고 기능은 GitHub Free, GitHub Pro, GitHub Team, GitHub Enterprise Cloud의 공개 저장소에서 사용할 수 있습니다.