Coordinated vulnerability disclosure
← Kebijakan

GitLab: Kebijakan Pengungkapan yang Bertanggung Jawab

Silakan kirim email ke security@gitlab.com untuk melaporkan kerentanan keamanan apa pun. Kami akan mengonfirmasi penerimaan laporan kerentanan Anda pada hari kerja berikutnya dan berusaha mengirimkan pembaruan berkala tentang kemajuan kami. Jika Anda penasaran dengan status pengungkapan Anda, silakan kirim email kepada kami lagi. Jika Anda ingin mengenkripsi email pengungkapan Anda, silakan kirim email kepada kami untuk meminta kunci PGP kami.

Sebagai alternatif, Anda juga dapat mengirimkan laporan Anda melalui HackerOne.

Mohon tidak meminta kompensasi atas pelaporan kerentanan. Jika Anda mau, kami akan mengakui secara terbuka pengungkapan bertanggung jawab Anda. Kami juga berusaha membuat isu rahasia menjadi publik setelah kerentanan diumumkan, sebagai contoh lihat isu fitur peniruan identitas kami. HackerOne juga membuat laporan bug menjadi publik setelah 30 hari jika tidak ada pihak yang keberatan, sebagai contoh lihat laporan tentang XSS persisten pada halaman proyek publik.

Anda tidak diizinkan mencari kerentanan di GitLab.com itu sendiri. GitLab adalah perangkat lunak sumber terbuka, Anda dapat memasang salinannya sendiri dan menguji pada salinan tersebut. Anda dapat mengunduh CE, EE, atau GitLab Development Kit. Jika Anda ingin melakukan pengujian tanpa menyiapkan GitLab sendiri, silakan hubungi kami untuk mengatur akses ke server staging.

Anda dapat menemukan detail lebih lanjut tentang cara kami menangani rilis keamanan di sini.

Di situs web kami, Anda dapat mengetahui lebih lanjut tentang ketersediaan dan keamanan GitLab.com. Masalah keamanan yang bukan kerentanan dapat dilihat di pelacak isu publik kami.

Isu rahasia

Ketika kerentanan ditemukan, kami membuat isu rahasia untuk melacaknya secara internal. Patch keamanan didorong ke dev.gitlab.org, yang tidak dapat diakses publik, dan digabungkan ke cabang security. Patch tersebut tidak boleh muncul di GitLab.com sampai rilis keamanan diumumkan dan paket yang diperbarui tersedia.

Detail dapat ditemukan di proses rilis kritis kami.