GitHub instaure des limites de débit pour les signalements privés de vulnérabilités afin de restreindre le spam automatisé

GitHub a officiellement mis en place des limites de débit quotidiennes pour sa fonctionnalité de signalement privé de vulnérabilités, dans le but de lutter contre les envois automatisés et les divulgations de sécurité de faible qualité. Selon GitHub, l'augmentation constante des signalements automatisés rend de plus en plus difficile pour les mainteneurs de projets open source le tri des notifications et l'identification des véritables menaces de sécurité au milieu d'un volume important de messages non exploitables.

Plafonds quotidiens et listes d'autorisation

Le nouveau système plafonne le nombre de signalements privés de vulnérabilités qu'un même compte utilisateur peut soumettre sur une période de vingt-quatre heures. Ces restrictions s'appliquent à la fois au niveau de chaque dépôt et de manière globale sur l'ensemble de la plateforme GitHub. Lorsqu'un utilisateur atteint son plafond quotidien d'envoi, l'interface l'invite à soumettre son rapport ultérieurement. Il convient de souligner que ces limites de débit s'appliquent exclusivement à la création de nouveaux signalements. Les discussions en cours, les suivis et les commentaires sur des avis de sécurité déjà existants ne sont aucunement affectés par ce plafonnement.

Pour offrir davantage de flexibilité, les administrateurs de dépôts peuvent désormais définir des seuils d'envoi quotidiens personnalisés, adaptés aux besoins spécifiques de leurs projets. De plus, afin d'éviter toute gêne inutile pour les chercheurs en sécurité de confiance qui soumettent régulièrement des signalements valides, les administrateurs ont la possibilité d'ajouter des comptes désignés à une liste d'autorisation, exemptant totalement ces personnes des contraintes de limitation de débit.

Disponibilité et options de configuration

Les mainteneurs peuvent configurer ces nouveaux paramètres de limitation de débit directement depuis le tableau de bord de leur dépôt, en se rendant dans les options de sécurité puis dans le panneau de gestion du signalement privé de vulnérabilités. Cette fonctionnalité administrative est accessible pour les dépôts publics ayant activé le signalement privé de vulnérabilités sur plusieurs offres de la plateforme, notamment GitHub Free, GitHub Pro, GitHub Team et GitHub Enterprise Cloud. En déployant ces contrôles, les mainteneurs peuvent mieux protéger leurs processus de travail tout en maintenant des canaux ouverts pour la divulgation de failles critiques.

Illustration éditoriale générée par IA ; ce n’est pas une photographie documentaire.

Source: Rate limits for private vulnerability reports