GHSA (GitHub Security Advisory)

Définition

GHSA (GitHub Security Advisory) est la base de données de sécurité de GitHub contenant les avis de sécurité publiés par GitHub pour les projets hébergés sur la plateforme. Intégrée au GitHub Advisory Database, la GHSA couvre les vulnérabilités dans les packages open source des principaux écosystèmes (npm, PyPI, RubyGems, Maven, Go, Composer, NuGet, Rust, Swift) et est une source primaire d'information de sécurité pour des millions de projets utilisant Dependabot et GitHub Advanced Security. La GHSA est alimentée par plusieurs sources. Les CNA (CVE Numbering Authorities) incluant GitHub lui-même publient des CVEs qui sont automatiquement incluses dans la GHSA. Les mainteneurs de projets open source peuvent publier des Security Advisories privés (pour coordonner la divulgation avec les distributeurs) puis les rendre publics lors du release du patch. La communauté contribue également des entrées pour les packages non couverts par les canaux officiels. Chaque entrée reçoit un identifiant GHSA (GHSA-XXXX-XXXX-XXXX) en plus du CVE correspondant. L'intégration de la GHSA dans l'écosystème GitHub est native et puissante. Dependabot surveille les dépendances de chaque dépôt et crée automatiquement des alertes de sécurité Dependabot et des PRs de mise à jour quand une GHSA affecte un package utilisé. GitHub Code Scanning affiche les alertes liées aux GHSA dans l'interface de sécurité. Les GitHub Actions Security Advisories informent des vulnérabilités dans les actions utilisées dans les workflows CI/CD. La GHSA est accessible publiquement via l'API GraphQL de GitHub (le champ securityVulnerabilities sur un package) et contribue aux bases de données OSV et NVD. Son format de données est standardisé OSV, facilitant la consommation par des outils tiers. Des outils comme Trivy, Grype, et pip-audit interrogent la GHSA pour enrichir leurs résultats de scan.