Coordinated vulnerability disclosure
← Politike

GitLab: Politika odgovornog otkrivanja

Molimo pošaljite e-poštu na security@gitlab.com kako biste prijavili bilo koju sigurnosnu ranjivost. Potvrdit ćemo primitak vašeg izvješća o ranjivosti sljedeći radni dan i nastojat ćemo vam slati redovite obavijesti o našem napretku. Ako vas zanima status vašeg otkrivanja, slobodno nam ponovno pišite. Ako želite šifrirati e-poštu s otkrivanjem, javite nam se i zatražite naš PGP ključ.

Alternativno, izvješće nam možete poslati i putem HackerOnea.

Molimo vas da ne tražite naknadu za prijavu ranjivosti. Ako želite, javno ćemo priznati vaše odgovorno otkrivanje. Također nastojimo povjerljivi problem učiniti javnim nakon što se ranjivost objavi; za primjer pogledajte naš problem s funkcijom lažnog predstavljanja. HackerOne također izvješća o greškama čini javnima nakon 30 dana ako nijedna strana ne prigovori; za primjer pogledajte izvješće o trajnom XSS-u na javnoj stranici projekta.

Ne smijete tražiti ranjivosti na samom GitLab.com. GitLab je softver otvorenog koda, možete sami instalirati kopiju i testirati na njoj. Možete preuzeti CE, EE ili GitLab Development Kit. Ako želite testirati bez samostalnog postavljanja GitLaba, kontaktirajte nas kako bismo dogovorili pristup testnom poslužitelju.

Više pojedinosti o tome kako postupamo sa sigurnosnim izdanjima možete pronaći ovdje.

Na našoj web-stranici možete saznati više o dostupnosti i sigurnosti GitLab.com. Sigurnosni problemi koji nisu ranjivosti mogu se vidjeti na našem javnom praćenju problema.

Povjerljivi problemi

Kada se otkrije ranjivost, izrađujemo povjerljivi problem kako bismo je interno pratili. Sigurnosne zakrpe šalju se na dev.gitlab.org, koji nije javno dostupan, i spajaju u granu security. One se ne bi trebale pojaviti na GitLab.com dok sigurnosno izdanje ne bude objavljeno i dok ažurirani paketi ne budu dostupni.

Pojedinosti možete pronaći u našem procesu kritičnih izdanja.