Coordinated vulnerability disclosure
← Политики

GitLab: Политика за отговорно разкриване

Моля, пишете на security@gitlab.com, за да докладвате каквито и да било уязвимости в сигурността. Ще потвърдим получаването на вашия доклад за уязвимост на следващия работен ден и ще се стремим да ви изпращаме редовни актуализации за напредъка ни. Ако се интересувате от състоянието на вашето разкриване, моля, пишете ни отново. Ако искате да криптирате имейла с разкриването, моля, пишете ни, за да поискате нашия PGP ключ.

Като алтернатива можете да изпратите доклада си и чрез HackerOne.

Моля, въздържайте се от искане на възнаграждение за докладване на уязвимости. Ако желаете, ние ще признаем публично вашето отговорно разкриване. Опитваме се също да направим поверителния проблем публичен, след като уязвимостта бъде обявена; за пример вижте нашия проблем с функцията за представяне под чужда самоличност. HackerOne също прави докладите за грешки публични след 30 дни, ако никоя от страните не възразява; за пример вижте доклада за устойчив XSS на публична проектна страница.

Не е разрешено да търсите уязвимости в самия GitLab.com. GitLab е софтуер с отворен код, можете сами да инсталирате копие и да тествате върху него. Можете да изтеглите CE, EE или GitLab Development Kit. Ако искате да тествате, без сами да настройвате GitLab, моля, свържете се с нас, за да уговорим достъп до тестов сървър.

Повече подробности за това как обработваме версиите със сигурностни поправки можете да намерите тук.

На нашия уебсайт можете да научите повече за наличността и сигурността на GitLab.com. Проблемите със сигурността, които не са уязвимости, могат да се видят в нашия публичен тракер на проблеми.

Поверителни проблеми

Когато бъде открита уязвимост, създаваме поверителен проблем, за да я проследяваме вътрешно. Поправките за сигурност се изпращат към dev.gitlab.org, който не е публично достъпен, и се сливат в клона security. Те не трябва да се появяват в GitLab.com, докато версията със сигурностни поправки не бъде обявена и не са налични обновени пакети.

Подробности можете да намерите в нашия процес за критични версии.