Coordinated vulnerability disclosure
← Szabályzatok

GitLab: felelős közzétételi szabályzat

Biztonsági sebezhetőségek jelentéséhez küldjön e-mailt a security@gitlab.com címre. A sebezhetőségi jelentés kézhezvételét a következő munkanapon visszaigazoljuk, és igyekszünk rendszeres tájékoztatást küldeni az előrehaladásunkról. Ha kíváncsi a közzététele állapotára, nyugodtan írjon nekünk újra. Ha titkosítani szeretné a közzétételi e-mailjét, írjon nekünk, és kérje a PGP-kulcsunkat.

Alternatívaként a jelentését elküldheti nekünk a HackerOne segítségével is.

Kérjük, tartózkodjon a sebezhetőségek jelentéséért járó ellentételezés kérésétől. Ha szeretné, nyilvánosan elismerjük a felelős közzétételét. Igyekszünk a bizalmas issue-t is nyilvánossá tenni a sebezhetőség bejelentése után, példaként lásd a megszemélyesítési funkcióról szóló issue-nkat. A HackerOne a hibajelentéseket is 30 nap után nyilvánossá teszi, ha egyik fél sem tiltakozik, példaként lásd a nyilvános projektoldalon lévő tartós XSS jelentését.

Nem szabad sebezhetőségeket keresnie magán a GitLab.com-on. A GitLab nyílt forráskódú szoftver, telepíthet egy saját példányt, és azon tesztelhet. Letöltheti a CE-t, az EE-t vagy a GitLab Development Kitet. Ha a GitLab saját beállítása nélkül szeretne tesztelni, kérjük, vegye fel velünk a kapcsolatot, hogy egyeztessük a staging szerverhez való hozzáférést.

Az biztonsági kiadások kezeléséről itt talál további részleteket.

Weboldalunkon többet olvashat a GitLab.com rendelkezésre állásáról és biztonságáról. A nem sebezhetőségnek minősülő biztonsági problémák nyilvános issue-követőnkben láthatók.

Bizalmas issue-k

Ha sebezhetőséget fedeznek fel, bizalmas issue-t hozunk létre a belső nyomon követéséhez. A biztonsági javításokat a nyilvánosan nem elérhető dev.gitlab.org-ra töltjük fel, és beolvasztjuk a security ágba. Nem szabad megjelenniük a GitLab.com-on, amíg a biztonsági kiadást be nem jelentették, és a frissített csomagok el nem érhetők.

A részletek a kritikus kiadási folyamatunkban találhatók.