Coordinated vulnerability disclosureGitLab: سیاست افشای مسئولانه
- تماس: security@gitlab.com
- وب‌سایت: https://about.gitlab.com/disclosure/
- راستی‌آزمایی: 2017-09-21
لطفاً برای گزارش هرگونه آسیب‌پذیری امنیتی به security@gitlab.com ایمیل بفرستید. دریافت گزارش آسیب‌پذیری شما را روز کاری بعد تأیید می‌کنیم و می‌کوشیم به‌روزرسانی‌های منظمی درباره پیشرفت خود برایتان بفرستیم. اگر از وضعیت افشای خود کنجکاوید، با خیال راحت دوباره به ما ایمیل بزنید. اگر می‌خواهید ایمیل افشای خود را رمزگذاری کنید، به ما ایمیل بزنید و کلید PGP ما را بخواهید.
به‌عنوان جایگزین می‌توانید گزارش خود را از طریق HackerOne هم برای ما بفرستید.
لطفاً از درخواست غرامت برای گزارش آسیب‌پذیری‌ها خودداری کنید. اگر بخواهید، افشای مسئولانه شما را علناً قدردانی می‌کنیم. همچنین می‌کوشیم پس از اعلام آسیب‌پذیری، issue محرمانه را عمومی کنیم؛ برای نمونه issue ویژگی جعل هویت ما را ببینید. HackerOne نیز اگر هیچ‌یک از طرفین اعتراض نکنند گزارش‌های اشکال را پس از ۳۰ روز عمومی می‌کند؛ برای نمونه گزارش مربوط به یک XSS ماندگار در صفحه پروژه عمومی را ببینید.
شما اجازه ندارید خود GitLab.com را برای آسیب‌پذیری جست‌وجو کنید. GitLab نرم‌افزار متن‌باز است، می‌توانید نسخه‌ای از آن را خودتان نصب کنید و روی آن آزمایش کنید. می‌توانید CE، EE یا GitLab Development Kit را دانلود کنید. اگر می‌خواهید بدون راه‌اندازی خودِ GitLab آزمایش کنید، لطفاً با ما تماس بگیرید تا دسترسی به یک سرور staging را ترتیب دهیم.
جزئیات بیشتر درباره نحوه رسیدگی ما به انتشارهای امنیتی را اینجا بیابید.
در وب‌سایت ما می‌توانید درباره دسترس‌پذیری و امنیت GitLab.com بیشتر بخوانید. مسائل امنیتی که آسیب‌پذیری نیستند در ردیاب issue عمومی ما دیده می‌شوند.
issueهای محرمانه
وقتی آسیب‌پذیری‌ای کشف می‌شود، برای پیگیری داخلی آن یک issue محرمانه ایجاد می‌کنیم. وصله‌های امنیتی به dev.gitlab.org که برای عموم قابل‌دسترس نیست push می‌شوند و در شاخه security ادغام می‌شوند. آن‌ها نباید تا زمان اعلام انتشار امنیتی و در دسترس‌بودن بسته‌های به‌روزشده در GitLab.com ظاهر شوند.
جزئیات را می‌توان در فرایند انتشار بحرانی ما یافت.