Exploración de los avisos de seguridad en GitHub Advisory Database

Acceso a un aviso en GitHub Advisory Database

Puede acceder a cualquier aviso en el GitHub Advisory Database.

Vaya a https://github.com/advisories.
Opcionalmente, para filtrar la lista de avisos, utiliza el campo de búsqueda o los menús desplegables en la parte superior de la lista.

Nota:

Puede usar la barra lateral de la izquierda para explorar GitHublos avisos revisados y no revisados por separado, o para filtrar por ecosistema.
Haz clic en cualquier aviso para ver los detalles. De forma predeterminada, verá GitHubavisos revisados para detectar vulnerabilidades de seguridad. Si quieres ver los avisos de malware, usa type:malware en la barra de búsqueda.

También se puede acceder a la base de datos utilizando la API de GraphQL. De forma predeterminada, las consultas devolverán GitHubavisos revisados para detectar vulnerabilidades de seguridad a menos que especifique type:malware. Para obtener más información, consulta el Eventos y cargas de webhook.

Además, puede acceder a GitHub Advisory Database mediante la API REST. Para obtener más información, vea Puntos de conexión de API de REST para avisos de seguridad globales.

Editar un aviso en GitHub Advisory Database

Puede sugerir mejoras para cualquier aviso en el GitHub Advisory Database. Para obtener más información, vea Edición de avisos de seguridad en la base de avisos de GitHub.

Buscar en GitHub Advisory Database

Puedes buscar la base de datos y utilizar los calificadores para definir más tu búsqueda. Por ejemplo, puedes buscar las asesorías que se hayan creado en una fecha, ecosistema o biblioteca específicos.

El formato de fecha debe seguir el estándar ISO8601, que es YYYY-MM-DD (año-mes-día). También puede agregar información de tiempo opcional THH:MM:SS+00:00 después de la fecha, para buscar por hora, minuto y segundo. Esto es, T, seguido de HH:MM:SS (hora-minutos-segundos) y una diferencia horaria con UTC (+00:00).

Cuando buscas una fecha, puedes utilizar los calificadores de mayor qué, menor qué y rango para filtrar aún más los resultados. Para más información, consulta Entender la sintaxis de búsqueda.

Calificador:	Example
`type:reviewed`
[
`type:reviewed`
](https://github.com/advisories?query=type%3Areviewed) mostrará GitHubavisos revisados para detectar vulnerabilidades de seguridad.
`type:malware`
[
`type:malware`
](https://github.com/advisories?query=type%3Amalware) mostrará avisos de software malicioso.
`type:unreviewed`
[
`type:unreviewed`
](https://github.com/advisories?query=type%3Aunreviewed) mostrará avisos no revisados.
`GHSA-ID`
[
`GHSA-49wp-qq6x-g2rf`
](https://github.com/advisories?query=GHSA-49wp-qq6x-g2rf) mostrará el aviso con este GitHub Advisory Database identificador.
`CVE-ID`
[
`CVE-2020-28482`
](https://github.com/advisories?query=CVE-2020-28482) mostrará el aviso con este número de id. de CVE.
`ecosystem:ECOSYSTEM`
[
`ecosystem:npm`
](https://github.com/advisories?utf8=%E2%9C%93&query=ecosystem%3Anpm) mostrará solo los avisos que afecten a los paquetes de NPM.
`severity:LEVEL`
[
`severity:high`
](https://github.com/advisories?utf8=%E2%9C%93&query=severity%3Ahigh) solo mostrará avisos con un nivel de gravedad alto.
`affects:LIBRARY`
[
`affects:lodash`
](https://github.com/advisories?utf8=%E2%9C%93&query=affects%3Alodash) mostrará solo avisos que afecten a la biblioteca lodash.
`cwe:ID`
[
`cwe:352`
](https://github.com/advisories?query=cwe%3A352) solo mostrará avisos con este número de CWE.
`credit:USERNAME`
[
`credit:octocat`
](https://github.com/advisories?query=credit%3Aoctocat) solo mostrará avisos acreditados en la cuenta de usuario "octocat".
`sort:created-asc`
[
`sort:created-asc`
](https://github.com/advisories?utf8=%E2%9C%93&query=sort%3Acreated-asc) ordenará primero por los avisos más antiguos.
`sort:created-desc`
[
`sort:created-desc`
](https://github.com/advisories?utf8=%E2%9C%93&query=sort%3Acreated-desc) ordenará primero por los avisos más recientes.
`sort:updated-asc`
[
`sort:updated-asc`
](https://github.com/advisories?utf8=%E2%9C%93&query=sort%3Aupdated-asc) ordenará primero por la actualización menos reciente.
`sort:updated-desc`
[
`sort:updated-desc`
](https://github.com/advisories?utf8=%E2%9C%93&query=sort%3Aupdated-desc) ordenará primero por la actualización más reciente.
`is:withdrawn`
[
`is:withdrawn`
](https://github.com/advisories?utf8=%E2%9C%93&query=is%3Awithdrawn) mostrará solo los avisos que se han retirado.
`created:YYYY-MM-DD`
[
`created:2021-01-13`
](https://github.com/advisories?utf8=%E2%9C%93&query=created%3A2021-01-13) mostrará solo los avisos creados en esta fecha.
`updated:YYYY-MM-DD`
[
`updated:2021-01-13`
](https://github.com/advisories?utf8=%E2%9C%93&query=updated%3A2021-01-13) mostrará solo los avisos actualizados en esta fecha.

Un identificador GHSA-ID es un ID único que en GitHub asignamos automáticamente a cada boletín del GitHub Advisory Database. Para obtener más información sobre estos identificadores, vea Acerca de GitHub Advisory Database.

Visualizar tus repositorios vulnerables

Para cualquier aviso revisado por GitHub en GitHub Advisory Database, puede ver cuáles de sus repositorios están afectados por esa vulnerabilidad de seguridad o ese software malicioso. Para ver un repositorio vulnerable, debe tener acceso a Dependabot alerts para ese repositorio. Para obtener más información, vea Dependabot alerts.

Vaya a https://github.com/advisories.
Haz clic en una asesoría.
En la parte superior de la página de advertencias, haga clic en Dependabot alerts (Alertas de Dependabot).

Captura de pantalla de un "aviso de seguridad global". El botón "Alertas de Dependabot" está resaltado con un contorno naranja.

Opcionalmente, para filtrar la lista, utiliza la barra de búsqueda o los menús desplegables. El menú desplegable "Organización" le permite filtrar por Dependabot alerts propietario (organización o usuario).
Para más detalles sobre el aviso y consejos sobre cómo corregir el repositorio vulnerable, haz clic en el nombre del repositorio.

Acceso a la base de datos de asesoramiento local en GitHub Enterprise Server

Si el administrador del sitio ha habilitado GitHub Connect para su instancia, también puede consultar las alertas revisadas localmente. Para obtener más información, vea Acerca de GitHub Connect.

Puede usar la base de datos de avisos local para comprobar si se incluye una vulnerabilidad de seguridad específica y, por tanto, si recibirás alertas de las dependencias vulnerables. También puedes ver cualquier repositorio vulnerable.

Navegue a https://HOSTNAME/advisories.
Opcionalmente, para filtrar la lista, utiliza cualquiera de los menúes desplegables.

Nota:

Solo se mostrarán los avisos revisados. Los avisos sin revisar se pueden ver en GitHub Advisory Database en GitHub.com. Para obtener más información, consulte Acceso a un aviso en la base de datos de avisos de GitHub.
Haz clic en cualquier aviso para ver los detalles. De forma predeterminada, verá avisos GitHubrevisados sobre vulnerabilidades de seguridad. Si quieres ver los avisos de malware, usa type:malware en la barra de búsqueda.

También puedes sugerir mejoras en cualquier aviso directamente desde la base de datos de avisos local. Para obtener más información, vea Edición de avisos de seguridad en la base de avisos de GitHub.

Visualización de repositorios vulnerables para la instancia

Los propietarios de empresa deben habilitar Dependabot alerts para tu instancia de GitHub Enterprise Server antes de poder usar esta característica. Para más información, consulta Habilitación de Dependabot para la empresa.

En la base de datos local de avisos, puede ver qué repositorios se ven afectados por cada vulnerabilidad de seguridad o software malicioso. Para ver un repositorio vulnerable, debe tener acceso a Dependabot alerts para ese repositorio. Para obtener más información, vea Dependabot alerts.

Navegue a https://HOSTNAME/advisories.
Haz clic en una asesoría.
En la parte superior de la página de advertencias, haga clic en Dependabot alerts (Alertas de Dependabot).