Coordinated vulnerability disclosure
← Zásady

GitLab: zásady odpovědného zveřejňování

Chcete-li nahlásit jakékoli bezpečnostní zranitelnosti, pošlete e-mail na adresu security@gitlab.com. Přijetí vašeho hlášení zranitelnosti potvrdíme následující pracovní den a budeme se snažit zasílat vám pravidelné aktualizace o našem postupu. Pokud vás zajímá stav vašeho hlášení, klidně nám napište znovu. Pokud chcete svůj e-mail s hlášením zašifrovat, napište nám a požádejte o náš PGP klíč.

Alternativně nám můžete své hlášení zaslat také přes HackerOne.

Prosíme, nežádejte kompenzaci za nahlášení zranitelností. Pokud chcete, veřejně uznáme vaše odpovědné zveřejnění. Snažíme se také učinit důvěrný issue veřejným poté, co je zranitelnost oznámena, příklad najdete v našem issue o funkci vydávání se za jiného uživatele. HackerOne také činí hlášení chyb veřejnými po 30 dnech, pokud žádná ze stran nenamítá, příklad najdete v hlášení o trvalém XSS na veřejné stránce projektu.

Není vám dovoleno hledat zranitelnosti na samotném GitLab.com. GitLab je software s otevřeným zdrojovým kódem, můžete si nainstalovat vlastní kopii a testovat na ní. Můžete si stáhnout buď CE, EE, nebo GitLab Development Kit. Pokud chcete provádět testování bez vlastního nastavení GitLabu, kontaktujte nás a domluvte si přístup na staging server.

Další podrobnosti o tom, jak zacházíme s bezpečnostními vydáními, najdete zde.

Na našem webu se můžete dozvědět více o dostupnosti a bezpečnosti GitLab.com. Bezpečnostní problémy, které nejsou zranitelnostmi, jsou vidět v našem veřejném issue trackeru.

Důvěrné issues

Když je objevena zranitelnost, vytvoříme důvěrný issue, abychom ji interně sledovali. Bezpečnostní záplaty se nahrávají na dev.gitlab.org, který není veřejně přístupný, a slučují se do větve security. Neměly by se objevit na GitLab.com, dokud není bezpečnostní vydání oznámeno a nejsou k dispozici aktualizované balíčky.

Podrobnosti najdete v našem procesu kritických vydání.