go-wsman でセキュリティ上の問題を発見した場合は、GitHub の Private Vulnerability Reporting 機能 を使用して報告してください。
- このリポジトリの Security タブを開く
- Report a vulnerability をクリック
- 詳細を記入して送信
公開 Issue での脆弱性報告はお控えください。報告者と協力して影響範囲を確認した後、修正リリースと併せて公開する形を取ります。
| バージョン | サポート状況 |
|---|---|
| 最新リリース (main HEAD) | ✅ サポート対象 |
| 過去リリース | ❌ サポート対象外（最新版へのアップグレードを推奨） |
go-wsman は個人開発のライブラリで、原則として main HEAD のみ をサポート対象としています。脆弱性が見つかった場合は最新リリースに修正を含める方針です。
このリポジトリでは以下のセキュリティ機能を有効化しています。
- Dependabot: GitHub Actions / Go Modules の依存関係を週次で自動更新
- Secret Scanning + Push Protection: 認証情報のコミット混入を検出・防止
- CodeQL Code Scanning: 静的解析による脆弱性検出
- govulncheck: Go 標準ライブラリ・依存パッケージの既知の脆弱性チェック (CI で実行)
- gosec: Go コードのセキュリティ問題検出 (CI で実行)
- Actions の SHA ピン留め: サプライチェーン攻撃対策
go-wsman は WS-Management プロトコルでリモートホストに接続するクライアントライブラリです。利用者が以下の認証情報を扱う場合、呼び出し側コードでの取り扱いに注意してください。
- NTLM 認証用のユーザー名・パスワード
- TLS クライアント証明書 (PEM 形式)
go-wsman 自体はこれらの情報をログ出力したりディスクに永続化したりしませんが、利用者のアプリケーションで以下を推奨します。
- 認証情報を環境変数 / Secrets Manager から読み込む
- ハードコードしない (
.envを.gitignoreに追加済み) - TLS 検証 (
tls.Config.InsecureSkipVerify) は本番環境でfalseに