GitHub führt Ratenbegrenzungen für private Schwachstellenberichte ein, um automatisierten Spam einzudämmen

GitHub hat offiziell tägliche Ratenbegrenzungen für seine Funktion zur privaten Meldung von Schwachstellen eingeführt, um automatisierten Einreichungen und minderwertigen Sicherheitshinweisen entgegenzuwirken. Laut GitHub hat ein zunehmender Ansturm an automatisierten Schwachstellenberichten die Sichtung von Benachrichtigungen für Betreuer von Open-Source-Projekten erschwert, da berechtigte Sicherheitsbedenken unter dem unbrauchbaren Lärm unterzugehen drohen.

Tägliche Obergrenzen und Positivlisten

Das neue System begrenzt die Anzahl privater Schwachstellenberichte, die ein einzelnes Benutzerkonto innerhalb eines Zeitraums von 24 Stunden einreichen kann. Diese Einschränkungen greifen sowohl auf Ebene des einzelnen Repositorys als auch global über die gesamte GitHub-Plattform hinweg. Wenn ein Benutzer das tägliche Limit erreicht, fordert die Benutzeroberfläche ihn dazu auf, die Meldung zu einem späteren Zeitpunkt erneut zu versuchen. Entscheidend ist, dass diese Begrenzungen ausschließlich für die Erstellung völlig neuer Schwachstellenberichte gelten. Laufende Diskussionen, Rückfragen und Kommentare zu bereits bestehenden Sicherheitshinweisen bleiben von der Obergrenze völlig unberührt.

Um Flexibilität zu gewährleisten, können Repository-Administratoren ab sofort individuelle tägliche Limits definieren, die auf die spezifischen Anforderungen ihrer Projekte zugeschnitten sind. Um unnötigen Aufwand für vertrauenswürdige Sicherheitsforscher zu vermeiden, die regelmäßig valide Hinweise liefern, haben Administratoren zudem die Möglichkeit, bestimmte Konten auf eine Positivliste (Allow-List) zu setzen. Diese Personen sind dadurch vollständig von jeglichen Ratenbegrenzungen ausgenommen.

Verfügbarkeit und Konfigurationsoptionen

Maintainer können diese neuen Einstellungen zur Ratenbegrenzung direkt über ihr Repository-Dashboard konfigurieren, indem sie zu den Sicherheitseinstellungen navigieren und das Verwaltungsfenster für die private Schwachstellenmeldung aufrufen. Diese administrative Funktion steht für öffentliche Repositories zur Verfügung, die das private Meldewesen für Schwachstellen auf verschiedenen Plattform-Stufen aktiviert haben, darunter GitHub Free, GitHub Pro, GitHub Team und GitHub Enterprise Cloud. Durch die Implementierung dieser Steuerungselemente können Maintainer ihre Arbeitsabläufe besser schützen und gleichzeitig offene Kanäle für die Offenlegung kritischer Sicherheitslücken aufrechterhalten.

KI-generierte redaktionelle Illustration; kein Dokumentarfoto.

Quelle: Rate limits for private vulnerability reports