La base de datos de asesorías de GitHub se ha consolidado como un recurso esencial para los desarrolladores al ofrecer un listado exhaustivo de vulnerabilidades de seguridad y malware que afectan a paquetes de código abierto. Un análisis reciente de las tendencias del Advisory DB para 2024 destaca un incremento significativo en el número de asesorías revisadas, la cobertura del ecosistema y las contribuciones de diversas fuentes.

Las vulnerabilidades se clasifican en tres categorías: asesorías revisadas por GitHub, no revisadas y de malware. Las revisadas abarcan vulnerabilidades verificadas en paquetes de ecosistemas compatibles. Las no revisadas, por su parte, provienen automáticamente de la Base de Datos Nacional de Vulnerabilidades (NVD) y podrían no impactar a paquetes soportados. Las asesorías de malware se centran en amenazas identificadas por el equipo de seguridad de npm.

Desde su inicio, el número de asesorías revisadas ha crecido de menos de 400 en 2019 a más de 20,000 en octubre de 2024. Este incremento se debe a la entrada de asesorías de múltiples fuentes y la expansión de ecosistemas y campañas de revisión de asesorías anteriores.

Los ecosistemas de paquetes han tenido un notable aumento en vulnerabilidades reportadas. Aunque npm fue originalmente dominante, la inclusión de ecosistemas como Maven y Composer ha modificado significativamente esta distribución. En 2024, casi la mitad de las asesorías estaban relacionadas con vulnerabilidades en Maven y Composer.

El proceso de revisión y publicación de asesorías se nutre de contribuciones comunitarias y especializadas, como las de PyPA o Go Vulncheck. Estas permiten que los desarrolladores tengan un panorama ampliado de posibles vulnerabilidades. GitHub ofrece datos de acción, como calificaciones de gravedad y un sistema de puntuación de predicción de explotación, ayudando a los desarrolladores a identificar las vulnerabilidades que requieren atención inmediata.

Adicionalmente, GitHub actúa como una Autoridad de Numeración CVE, emitiendo identificadores para vulnerabilidades reportadas. En 2024, se publicaron más de 2,000 registros CVE, consolidando a GitHub como uno de los principales actores en este ámbito.

En resumen, la base de datos de asesorías de GitHub no solo es un repositorio de vulnerabilidades, sino que también potencia herramientas como Dependabot, ayudando a los desarrolladores a gestionar riesgos y mantener sus proyectos seguros de manera efectiva.