Coordinated vulnerability disclosure
← Políticas

GitLab: Política de divulgación responsable

Envíe un correo electrónico a security@gitlab.com para informar de cualquier vulnerabilidad de seguridad. Acusaremos recibo de su informe de vulnerabilidad el siguiente día hábil y nos esforzaremos por enviarle actualizaciones periódicas sobre nuestros avances. Si tiene curiosidad por el estado de su divulgación, no dude en escribirnos de nuevo. Si desea cifrar su correo electrónico de divulgación, escríbanos para solicitar nuestra clave PGP.

Como alternativa, también puede enviarnos su informe a través de HackerOne.

Le rogamos que no solicite compensación por informar de vulnerabilidades. Si lo desea, reconoceremos públicamente su divulgación responsable. También intentamos hacer pública la incidencia confidencial una vez anunciada la vulnerabilidad; como ejemplo, consulte nuestra incidencia de la función de suplantación de identidad. HackerOne también hace públicos los informes de errores después de 30 días si ninguna de las partes se opone; como ejemplo, consulte el informe de un XSS persistente en la página de un proyecto público.

No está permitido buscar vulnerabilidades en GitLab.com. GitLab es software de código abierto; puede instalar una copia usted mismo y hacer pruebas con ella. Puede descargar CE, EE o el GitLab Development Kit. Si desea hacer pruebas sin instalar GitLab usted mismo, póngase en contacto con nosotros para organizar el acceso a un servidor de preproducción (staging).

Puede encontrar más detalles sobre cómo gestionamos las versiones de seguridad aquí.

En nuestro sitio web puede obtener más información sobre la disponibilidad y la seguridad de GitLab.com. Los problemas de seguridad que no son vulnerabilidades pueden verse en nuestro gestor de incidencias público.

Incidencias confidenciales

Cuando se descubre una vulnerabilidad, creamos una incidencia confidencial para hacerle seguimiento internamente. Los parches de seguridad se envían a dev.gitlab.org, que no es de acceso público, y se fusionan en la rama security. No deberían aparecer en GitLab.com hasta que se haya anunciado la versión de seguridad y haya paquetes actualizados disponibles.

Puede encontrar los detalles en nuestro proceso de publicación crítica.