GitLab: מדיניות חשיפה אחראית

• איש קשר: security@gitlab.com
• אתר: https://about.gitlab.com/disclosure/
• אומת: 2017-09-21

אנא שלחו דוא"ל אל security@gitlab.com כדי לדווח על כל פגיעות אבטחה. נאשר את קבלת דיווח הפגיעות שלכם ביום העסקים הבא ונשתדל לשלוח לכם עדכונים סדירים על התקדמותנו. אם אתם סקרנים לגבי מצב החשיפה שלכם, אתם מוזמנים לשלוח לנו דוא"ל שוב. אם ברצונכם להצפין את דוא"ל החשיפה שלכם, אנא שלחו לנו דוא"ל וביקשו את מפתח ה-PGP שלנו.

לחלופין, תוכלו לשלוח לנו את הדיווח שלכם גם דרך HackerOne.

אנא הימנעו מלבקש פיצוי על דיווח פגיעויות. אם תרצו, נכיר בפומבי בחשיפה האחראית שלכם. אנו גם מנסים להפוך את ה-issue הסודי לציבורי לאחר שהפגיעות הוכרזה, לדוגמה ראו את ה-issue של תכונת התחזות שלנו. HackerOne גם הופך דיווחי באגים לציבוריים לאחר 30 יום אם אף אחד מהצדדים אינו מתנגד, לדוגמה ראו הדיווח על XSS מתמשך בדף פרויקט ציבורי.

אסור לכם לחפש פגיעויות ב-GitLab.com עצמו. GitLab היא תוכנה בקוד פתוח, תוכלו להתקין עותק משלכם ולבדוק עליו. תוכלו להוריד את CE, את EE או את GitLab Development Kit. אם אתם רוצים לבצע בדיקות מבלי להגדיר את GitLab בעצמכם, אנא צרו קשר כדי לתאם גישה לשרת staging.

תוכלו למצוא פרטים נוספים על האופן שבו אנו מטפלים בגרסאות אבטחה כאן.

באתר שלנו תוכלו לקרוא עוד על הזמינות והאבטחה של GitLab.com. בעיות אבטחה שאינן פגיעויות ניתן לראות במעקב ה-issues הציבורי שלנו.

issues סודיים

כאשר מתגלה פגיעות, אנו יוצרים issue סודי כדי לעקוב אחריה באופן פנימי. טלאי אבטחה נדחפים אל dev.gitlab.org, שאינו נגיש לציבור, ומתמזגים לענף security. הם לא אמורים להופיע ב-GitLab.com עד שגרסת האבטחה הוכרזה וחבילות מעודכנות זמינות.

ניתן למצוא פרטים בתהליך הגרסאות הקריטיות שלנו.