GitLab: سياسة الإفصاح المسؤول

• جهة الاتصال: security@gitlab.com
• الموقع: https://about.gitlab.com/disclosure/
• تاريخ التحقق: 2017-09-21

يرجى مراسلة security@gitlab.com بالبريد الإلكتروني للإبلاغ عن أي ثغرات أمنية. سنقرّ باستلام تقرير الثغرة في يوم العمل التالي ونسعى إلى إرسال تحديثات منتظمة إليك عن تقدمنا. وإن كنت تود معرفة حالة إفصاحك فلا تتردد في مراسلتنا مرة أخرى. وإن أردت تشفير بريد الإفصاح فراسلنا لطلب مفتاح PGP الخاص بنا.

وبدلاً من ذلك، يمكنك أيضاً إرسال تقريرك عبر HackerOne.

يرجى الامتناع عن طلب تعويض مقابل الإبلاغ عن الثغرات. وإن شئت فسنقوم بالإشادة علناً بإفصاحك المسؤول. كما نحاول جعل المسألة السرية علنية بعد الإعلان عن الثغرة، ولمثال على ذلك انظر مسألة ميزة انتحال الهوية. وتجعل HackerOne أيضاً تقارير الأخطاء علنية بعد 30 يوماً إن لم يعترض أي من الطرفين، ولمثال على ذلك انظر تقرير ثغرة XSS دائمة في صفحة مشروع عام.

لا يُسمح لك بالبحث عن ثغرات في GitLab.com نفسه. GitLab برنامج مفتوح المصدر، ويمكنك تثبيت نسخة بنفسك والاختبار عليها. يمكنك تنزيل CE أو EE أو GitLab Development Kit. وإذا أردت إجراء الاختبار دون إعداد GitLab بنفسك فاتصل بنا لترتيب الوصول إلى خادم تجريبي (staging).

يمكنك الاطلاع على مزيد من التفاصيل حول كيفية تعاملنا مع الإصدارات الأمنية هنا.

يمكنك على موقعنا معرفة المزيد عن توافر GitLab.com وأمانه. أما المشكلات الأمنية التي ليست ثغرات فيمكن الاطلاع عليها في متتبع المسائل العام لدينا.

المسائل السرية

عند اكتشاف ثغرة ننشئ مسألة سرية لتتبعها داخلياً. تُدفع الرقع الأمنية إلى dev.gitlab.org، غير المتاح للعموم، وتُدمج في الفرع security. ويجب ألا تظهر على GitLab.com إلى أن يُعلن عن الإصدار الأمني وتتوفر حزم محدَّثة.

يمكن العثور على التفاصيل في عملية الإصدار الحرج لدينا.