Coordinated vulnerability disclosure
← Poliitikad

GitLab: vastutustundliku avalikustamise poliitika

Turvaauklikest teatamiseks saada e-kiri aadressile security@gitlab.com. Kinnitame haavatavuse aruande kättesaamist järgmisel tööpäeval ja püüame saata sulle regulaarseid ülevaateid oma edusammudest. Kui oled uudishimulik oma avalikustamise staatuse vastu, saada meile julgesti uuesti e-kiri. Kui soovid avalikustamise e-kirja krüpteerida, palu meilt e-kirjaga meie PGP võtit.

Teise võimalusena võid aruande saata ka HackerOne'i kaudu.

Palun hoidu hüvitise nõudmisest haavatavuste eest teatamise eest. Soovi korral tunnustame avalikult sinu vastutustundlikku avalikustamist. Püüame ka konfidentsiaalse probleemi pärast haavatavuse teatavaks tegemist avalikuks muuta, näiteks vaata meie teise kasutajana esinemise funktsiooni probleemi. HackerOne teeb samuti veateated 30 päeva pärast avalikuks, kui kumbki osapool ei vaidle vastu, näiteks vaata aruannet püsiva XSS-i kohta avalikul projektilehel.

Sul ei ole lubatud haavatavusi otsida GitLab.com'ist endast. GitLab on avatud lähtekoodiga tarkvara, saad paigaldada oma koopia ja testida seda. Saad alla laadida kas CE, EE või GitLab Development Kit. Kui soovid testida ilma GitLabi ise üles seadmata, võta meiega ühendust, et leppida kokku juurdepääs testserverile (staging).

Täpsemat teavet selle kohta, kuidas me turvaväljaandeid käsitleme, leiad siit.

Meie veebisaidilt leiad lisateavet GitLab.com'i kättesaadavuse ja turvalisuse kohta. Turvaprobleeme, mis ei ole haavatavused, näeb meie avalikus probleemijälgijas.

Konfidentsiaalsed probleemid

Kui haavatavus avastatakse, loome selle sisemiseks jälgimiseks konfidentsiaalse probleemi. Turvapaigad lükatakse serverisse dev.gitlab.org, mis ei ole avalikult juurdepääsetav, ning ühendatakse security harusse. Need ei tohiks ilmuda aadressil GitLab.com enne, kui turvaväljaanne on välja kuulutatud ja uuendatud paketid on saadaval.

Üksikasju leiad meie kriitilise väljaande protsessist.