Coordinated vulnerability disclosure
← Politikker

GitLab: Politik for ansvarlig offentliggørelse

Send en e-mail til security@gitlab.com for at rapportere sikkerhedssårbarheder. Vi bekræfter modtagelsen af din sårbarhedsrapport næste arbejdsdag og bestræber os på at sende dig regelmæssige opdateringer om vores fremskridt. Hvis du er nysgerrig efter status på din indberetning, er du velkommen til at e-maile os igen. Hvis du vil kryptere din e-mail med indberetningen, så send os en e-mail og bed om vores PGP-nøgle.

Alternativt kan du også sende os din rapport via HackerOne.

Undlad venligst at anmode om kompensation for at rapportere sårbarheder. Hvis du vil, anerkender vi offentligt din ansvarlige offentliggørelse. Vi forsøger også at gøre den fortrolige issue offentlig, efter at sårbarheden er annonceret, for et eksempel se vores issue om funktionen til at udgive sig for en anden bruger. HackerOne gør også fejlrapporterne offentlige efter 30 dage, hvis ingen af parterne gør indsigelse, for et eksempel se rapporten om en vedvarende XSS på en offentlig projektside.

Du må ikke lede efter sårbarheder på selve GitLab.com. GitLab er open source-software, du kan installere en kopi selv og teste mod den. Du kan enten downloade CE, EE eller GitLab Development Kit. Hvis du vil teste uden selv at sætte GitLab op, så kontakt os for at aftale adgang til en staging-server.

Du kan finde flere detaljer om, hvordan vi håndterer sikkerhedsudgivelser her.

På vores hjemmeside kan du finde mere om tilgængeligheden og sikkerheden af GitLab.com. Sikkerhedsproblemer, der ikke er sårbarheder, kan ses på vores offentlige issue-tracker.

Fortrolige issues

Når en sårbarhed opdages, opretter vi en fortrolig issue for at spore den internt. Sikkerhedspatches pushes til dev.gitlab.org, som ikke er offentligt tilgængelig, og flettes ind i security-grenen. De bør ikke vises på GitLab.com, før sikkerhedsudgivelsen er annonceret, og opdaterede pakker er tilgængelige.

Detaljer kan findes i vores kritiske udgivelsesproces.