Coordinated vulnerability disclosure
← नीतियाँ

GitLab: ज़िम्मेदार प्रकटीकरण नीति

किसी भी सुरक्षा भेद्यता की रिपोर्ट करने के लिए कृपया security@gitlab.com पर ईमेल करें। हम अगले कार्य दिवस पर आपकी भेद्यता रिपोर्ट की प्राप्ति स्वीकार करेंगे और अपनी प्रगति के बारे में आपको नियमित अपडेट भेजने का प्रयास करेंगे। यदि आप अपने प्रकटीकरण की स्थिति जानना चाहते हैं तो बेझिझक हमें दोबारा ईमेल करें। यदि आप अपना प्रकटीकरण ईमेल एन्क्रिप्ट करना चाहते हैं तो हमारी PGP कुंजी माँगने के लिए हमें ईमेल करें।

वैकल्पिक रूप से, आप अपनी रिपोर्ट हमें HackerOne के ज़रिए भी भेज सकते हैं।

कृपया भेद्यताओं की रिपोर्ट करने के बदले मुआवज़ा न माँगें। यदि आप चाहें तो हम आपके ज़िम्मेदार प्रकटीकरण को सार्वजनिक रूप से स्वीकार करेंगे। भेद्यता की घोषणा के बाद हम गोपनीय इश्यू को भी सार्वजनिक करने का प्रयास करते हैं; उदाहरण के लिए हमारा प्रतिरूपण सुविधा इश्यू देखें। यदि किसी पक्ष को आपत्ति नहीं है तो HackerOne भी बग रिपोर्ट 30 दिन बाद सार्वजनिक कर देता है; उदाहरण के लिए सार्वजनिक प्रोजेक्ट पेज पर स्थायी XSS की रिपोर्ट देखें।

आपको स्वयं GitLab.com पर भेद्यताएँ खोजने की अनुमति नहीं है। GitLab ओपन सोर्स सॉफ़्टवेयर है, आप स्वयं एक प्रति इंस्टॉल करके उस पर परीक्षण कर सकते हैं। आप CE, EE, या GitLab Development Kit डाउनलोड कर सकते हैं। यदि आप GitLab को स्वयं सेट अप किए बिना परीक्षण करना चाहते हैं तो स्टेजिंग (staging) सर्वर तक पहुँच की व्यवस्था के लिए हमसे संपर्क करें।

हम सुरक्षा रिलीज़ को कैसे संभालते हैं, इसके और विवरण आप यहाँ पा सकते हैं।

हमारी वेबसाइट पर आप GitLab.com की उपलब्धता और सुरक्षा के बारे में और जान सकते हैं। जो सुरक्षा समस्याएँ भेद्यताएँ नहीं हैं, उन्हें हमारे सार्वजनिक इश्यू ट्रैकर पर देखा जा सकता है।

गोपनीय इश्यू

जब कोई भेद्यता खोजी जाती है तो हम उसे आंतरिक रूप से ट्रैक करने के लिए एक गोपनीय इश्यू बनाते हैं। सुरक्षा पैच dev.gitlab.org पर पुश किए जाते हैं, जो सार्वजनिक रूप से सुलभ नहीं है, और security ब्रांच में मर्ज किए जाते हैं। सुरक्षा रिलीज़ की घोषणा होने और अपडेट किए गए पैकेज उपलब्ध होने तक उन्हें GitLab.com पर दिखाई नहीं देना चाहिए।

विवरण हमारी क्रिटिकल रिलीज़ प्रक्रिया में मिल सकते हैं।