Coordinated vulnerability disclosure
← Πολιτικές

GitLab: πολιτική υπεύθυνης γνωστοποίησης

Στείλτε email στο security@gitlab.com για να αναφέρετε οποιεσδήποτε ευπάθειες ασφαλείας. Θα επιβεβαιώσουμε τη λήψη της αναφοράς ευπάθειάς σας την επόμενη εργάσιμη ημέρα και θα προσπαθήσουμε να σας στέλνουμε τακτικές ενημερώσεις για την πρόοδό μας. Αν σας ενδιαφέρει η κατάσταση της γνωστοποίησής σας, μη διστάσετε να μας στείλετε ξανά email. Αν θέλετε να κρυπτογραφήσετε το email γνωστοποίησής σας, στείλτε μας email για να ζητήσετε το κλειδί PGP μας.

Εναλλακτικά, μπορείτε επίσης να μας στείλετε την αναφορά σας μέσω του HackerOne.

Παρακαλούμε να αποφύγετε να ζητήσετε αποζημίωση για την αναφορά ευπαθειών. Αν θέλετε, θα αναγνωρίσουμε δημόσια την υπεύθυνη γνωστοποίησή σας. Προσπαθούμε επίσης να κάνουμε το εμπιστευτικό ζήτημα δημόσιο μετά την ανακοίνωση της ευπάθειας, για παράδειγμα δείτε το ζήτημα της λειτουργίας πλαστοπροσωπίας. Το HackerOne κάνει επίσης τις αναφορές σφαλμάτων δημόσιες μετά από 30 ημέρες αν κανένα από τα μέρη δεν αντιταχθεί, για παράδειγμα δείτε την αναφορά για ένα μόνιμο XSS σε δημόσια σελίδα έργου.

Δεν επιτρέπεται να αναζητάτε ευπάθειες στο ίδιο το GitLab.com. Το GitLab είναι λογισμικό ανοιχτού κώδικα, μπορείτε να εγκαταστήσετε ένα δικό σας αντίγραφο και να δοκιμάσετε σε αυτό. Μπορείτε να κατεβάσετε είτε το CE, είτε το EE, είτε το GitLab Development Kit. Αν θέλετε να πραγματοποιήσετε δοκιμές χωρίς να ρυθμίσετε μόνοι σας το GitLab, επικοινωνήστε μαζί μας για να κανονίσουμε πρόσβαση σε διακομιστή staging.

Μπορείτε να βρείτε περισσότερες λεπτομέρειες για το πώς χειριζόμαστε τις εκδόσεις ασφαλείας εδώ.

Στον ιστότοπό μας μπορείτε να μάθετε περισσότερα για τη διαθεσιμότητα και την ασφάλεια του GitLab.com. Τα ζητήματα ασφαλείας που δεν είναι ευπάθειες μπορούν να δουν στον δημόσιο εντοπιστή ζητημάτων μας.

Εμπιστευτικά ζητήματα

Όταν ανακαλύπτεται μια ευπάθεια, δημιουργούμε ένα εμπιστευτικό ζήτημα για να την παρακολουθούμε εσωτερικά. Οι διορθώσεις ασφαλείας προωθούνται στο dev.gitlab.org, που δεν είναι δημόσια προσβάσιμο, και συγχωνεύονται στον κλάδο security. Δεν πρέπει να εμφανίζονται στο GitLab.com μέχρι να ανακοινωθεί η έκδοση ασφαλείας και να είναι διαθέσιμα ενημερωμένα πακέτα.

Λεπτομέρειες υπάρχουν στη διαδικασία κρίσιμης έκδοσης μας.