Coordinated vulnerability disclosure
← Stefnur

GitLab: Stefna um ábyrga birtingu

Sendu tölvupóst á security@gitlab.com til að tilkynna öryggisveikleika. Við staðfestum móttöku veikleikaskýrslu þinnar næsta virka dag og leggjum okkur fram um að senda þér reglulegar uppfærslur um framvindu okkar. Ef þú ert forvitin(n) um stöðu birtingar þinnar skaltu endilega senda okkur tölvupóst aftur. Ef þú vilt dulkóða birtingarpóstinn þinn skaltu senda okkur tölvupóst og biðja um PGP-lykilinn okkar.

Að öðrum kosti geturðu einnig sent okkur skýrsluna þína í gegnum HackerOne.

Vinsamlegast forðastu að fara fram á greiðslu fyrir að tilkynna veikleika. Ef þú vilt viðurkennum við opinberlega ábyrga birtingu þína. Við reynum einnig að gera trúnaðarmálið opinbert eftir að veikleikinn hefur verið tilkynntur, sjá til dæmis málið um eftirlíkingareiginleikann. HackerOne gerir einnig villuskýrslur opinberar eftir 30 daga ef hvorugur aðili andmælir, sjá til dæmis skýrsluna um varanlegt XSS á opinberri verkefnasíðu.

Þér er ekki heimilt að leita að veikleikum á GitLab.com sjálfu. GitLab er opinn hugbúnaður, þú getur sett upp þitt eigið eintak og prófað gegn því. Þú getur sótt annaðhvort CE, EE eða GitLab Development Kit. Ef þú vilt framkvæma prófanir án þess að setja GitLab upp sjálf(ur) skaltu hafa samband við okkur til að semja um aðgang að prófunarþjóni (staging).

Þú getur fundið nánari upplýsingar um hvernig við meðhöndlum öryggisútgáfur hér.

Á vefsvæði okkar geturðu lesið meira um aðgengi og öryggi GitLab.com. Öryggismál sem eru ekki veikleikar má sjá á opinberu málaskrá okkar.

Trúnaðarmál

Þegar veikleiki uppgötvast búum við til trúnaðarmál til að rekja hann innanhúss. Öryggisleiðréttingar eru sendar á dev.gitlab.org, sem er ekki aðgengilegt almenningi, og sameinaðar í security-greinina. Þær ættu ekki að birtast á GitLab.com fyrr en öryggisútgáfan hefur verið tilkynnt og uppfærðir pakkar eru tiltækir.

Nánari upplýsingar má finna í ferli okkar fyrir mikilvægar útgáfur.