GHSAとは

GHSA は、GitHub で公開される 脆弱性 の情報（GitHub Security Advisories）と、それぞれに付けられる識別番号です。「GHSA-xxxx-xxxx-xxxx」のような形式で表します。

主な情報

• 影響を受けるパッケージとバージョン、修正されたバージョン
• 深刻度（CVSS）と、CVE の番号（付いている場合）
• 脆弱性の内容と、対処の方法

2 種類の情報

• 各リポジトリのセキュリティアドバイザリ：オープンソース の開発者が、自分のプロジェクトの脆弱性を公開する
• GitHub Advisory Database：npm、Composer（Packagist）、PyPI などのパッケージの脆弱性をまとめたデータベース

使い方

• GitHub の Dependabot は、このデータベースをもとに、リポジトリの 依存関係 に脆弱性があると通知する
• npm audit なども、同じデータベースの情報を使っている
• CVE がまだ付いていない脆弱性も載っていることがあるため、オープンソースの部品の脆弱性を早く知るのに役立つ

関連用語

アドバイザリ、CVE、依存関係、npm