misskey-dev/misskey/security が通知されない

[kleuzjatob]

misskey-dev/misskeyをwatchしていますが、security issueが発行されてもこちらに通知されません。
こちらの設定状況は以下であり、リリース通知は意図通り受信できております。

何か設定を間違えているのでしょうか。対処方についてご教示いただければと存じます。

[m1sk9]

設定は間違っていないと思いますが, 通知関係は Misskey 側の問題ではない (リポジトリ所有者が干渉できるわけではない) ので GitHub 側へ問い合わせるのが一番かと思います.

https://support.github.com

[kleuzjatob]

ご返信ありがとうございます。
misskey-dev/misskey 側で特別何かしている訳じゃない事が misskey-dev 関係者から確認できればと考えたのですが、本件は他リポジトリでもよく起きている事なのでしょうか。GitHub 側の問題か多角的に見るべきなのは仰る通りでございます。

[m1sk9]

自分が使ってるプロダクトで脆弱性が毎日報告されているわけではないのですが, この類は初めてですね.
(というのもこれは私だけだと思いますが GitHub はアカウント固有の不具合が多く GitHub Support に報告すると修正してくれたり別の解決策を提示してくれたりします)

[kleuzjatob]

GitHub はアカウント固有の不具合が多く GitHub Support に報告すると修正してくれたり別の解決策を提示してくれたりします

ご回答ありがとうございます。GitHubの業界事情を知り気兼ねなく並行して問い合わせできます。

[kakkokari-gtyih]

具体的にいつのセキュリティアドバイザリが通知されなかった等ありますか？
直近ではアドバイザリの公開を行っていない気がするのですが

[kleuzjatob]

watchし始めたのが2024年1月頃ですので、以下2件が通知される事を期待したのですが、先月分も頂かなかったのを感じて質問させていただきました。

• Lack of media type verification of Activity Streams objects allows impersonation and takeover of remote accounts (syuilo published GHSA-qqrm-9grj-6v32 on Feb 17)
• Impersonation and takeover of remote accounts with unnormalized signed activities (syuilo published GHSA-2vxv-pv3m-3wvj on Jun 2)

直近ではアドバイザリの公開を行っていない気がするのですが

/security ページの方に追加掲載された事が何かしら通知されればと思いましたが、当方の誤解だったりしますでしょうか…？

[kakkokari-gtyih]

watchし始めたのが2024年1月頃

なるほど、それなら上記２個は通知されるべきですよね…
m1sk9さんのアドバイス通り、GitHubサポートにお問い合わせいただくのが良いかと思います。

[kleuzjatob]

ご返信ありがとうございます。
Maintainer様からもお墨付きを頂き心強いです。当面はGitHubサポートとのやり取りにて調査いたします。

[kakkokari-gtyih]

（security advisoryとsecurity alertsが別物の可能性が出てきたかも。ただしそこについての解説は調べた限り見つからなかったので説明を求めるという意味でもお問い合わせするのがいいかもしれません）

[m1sk9]

GitHub Advisory Database に Push されたら通知 or メンテナが有効な Security Advisories を公開したら通知 のどっちかだと思うんですけどね... (前者は確か GitHub スタッフのレビューが必要だったりとリポジトリ側の Security Advisories とは扱いがまた違うので後者だとは思うんですけど)

[m1sk9]

@kakkokari-gtyih @kleuzjatob

どうも腑に落ちなかったのでこの話を知り合いと話したところ About Dependabot alerts - GitHub Docs にこのような記述がありました.

To receive notifications about Dependabot alerts on repositories, you need to watch these repositories, and subscribe to receive "All Activity" notifications or configure custom settings to include "Security alerts." For more information, see "Configuring notifications." You can choose the delivery method for notifications, as well as the frequency at which the notifications are sent to you. For more information, see "Configuring notifications for Dependabot alerts."

日本語版のドキュメントでは "Security alerts" を "セキュリティ アラート" とそのまま訳してしまっているので見落としがちなんですが, 要するにこの設定は Dependabot のセキュリティアップデートがリポジトリに対して発行された際に通知する ものだということです. リポジトリ自体の Security issue を通知ベースで受け取ることは現時点では不可能のようです.
(よく調べずに知ったかしちゃいましたね. すみません)

[kleuzjatob]

なるほど、そういう事だったのですね。そちらでお調べいただいて恐れ入ります。
Misskey としては Security issue で判断せず、リリース通知単独で積極的に更新する方針に寄せようと思います。