Coordinated vulnerability disclosure
← Käytännöt

GitLab: vastuullisen julkistamisen käytäntö

Ilmoita tietoturvahaavoittuvuuksista lähettämällä sähköpostia osoitteeseen security@gitlab.com. Vahvistamme haavoittuvuusraporttisi vastaanottamisen seuraavana arkipäivänä ja pyrimme lähettämään sinulle säännöllisiä päivityksiä edistymisestämme. Jos olet utelias julkistuksesi tilasta, lähetä meille rohkeasti sähköpostia uudelleen. Jos haluat salata julkistussähköpostisi, pyydä sähköpostilla meidän PGP-avaintamme.

Vaihtoehtoisesti voit lähettää raporttisi myös HackerOnen kautta.

Pidättäydy vaatimasta korvausta haavoittuvuuksista ilmoittamisesta. Halutessasi tunnustamme julkisesti vastuullisen julkistamisesi. Pyrimme myös tekemään luottamuksellisen ongelman julkiseksi sen jälkeen, kun haavoittuvuus on ilmoitettu, esimerkkinä katso toisena käyttäjänä esiintymisen ominaisuuden issue. HackerOne tekee myös virheraportit julkisiksi 30 päivän kuluttua, jos kumpikaan osapuoli ei vastusta, esimerkkinä katso raportti pysyvästä XSS:stä julkisella projektisivulla.

Et saa etsiä haavoittuvuuksia GitLab.com-palvelusta itsestään. GitLab on avoimen lähdekoodin ohjelmisto, voit asentaa oman kopion ja testata sitä vastaan. Voit ladata joko CE:n, EE:n tai GitLab Development Kitin. Jos haluat tehdä testausta ilman, että asennat GitLabin itse, ota meihin yhteyttä sopiaksesi pääsystä staging-palvelimelle.

Lisätietoja siitä, miten käsittelemme tietoturvajulkaisuja, löydät täältä.

Verkkosivustoltamme löydät lisää tietoa GitLab.comin saatavuudesta ja tietoturvasta. Tietoturvaongelmat, jotka eivät ole haavoittuvuuksia, ovat nähtävissä julkisessa issue-seurannassamme.

Luottamukselliset ongelmat

Kun haavoittuvuus löydetään, luomme sen sisäistä seurantaa varten luottamuksellisen issuen. Tietoturvakorjaukset viedään osoitteeseen dev.gitlab.org, joka ei ole julkisesti käytettävissä, ja yhdistetään security-haaraan. Niiden ei pitäisi ilmestyä osoitteeseen GitLab.com, ennen kuin tietoturvajulkaisu on ilmoitettu ja päivitetyt paketit ovat saatavilla.

Lisätietoja löytyy kriittisten julkaisujen prosessistamme.