Coordinated vulnerability disclosure
← Policy

GitLab: policy di divulgazione responsabile

Invia un'email a security@gitlab.com per segnalare qualsiasi vulnerabilità di sicurezza. Confermeremo la ricezione della tua segnalazione di vulnerabilità il giorno lavorativo successivo e ci impegneremo a inviarti aggiornamenti regolari sui nostri progressi. Se sei curioso dello stato della tua divulgazione, scrivici pure di nuovo. Se vuoi cifrare la tua email di divulgazione, scrivici per chiedere la nostra chiave PGP.

In alternativa puoi anche inviarci la tua segnalazione tramite HackerOne.

Ti preghiamo di non richiedere compensi per la segnalazione di vulnerabilità. Se vuoi, riconosceremo pubblicamente la tua divulgazione responsabile. Cerchiamo inoltre di rendere pubblica la issue riservata dopo che la vulnerabilità è stata annunciata; per un esempio vedi la nostra issue sulla funzione di impersonificazione. HackerOne rende inoltre pubblici i report dei bug dopo 30 giorni se nessuna delle parti si oppone; per un esempio vedi il report su un XSS persistente nella pagina di un progetto pubblico.

Non è consentito cercare vulnerabilità su GitLab.com stesso. GitLab è un software open source: puoi installarne una copia e testare su quella. Puoi scaricare CE, EE, oppure il GitLab Development Kit. Se vuoi eseguire test senza installare GitLab in autonomia, contattaci per concordare l'accesso a un server di staging.

Puoi trovare maggiori dettagli su come gestiamo le release di sicurezza qui.

Sul nostro sito web puoi trovare maggiori informazioni sulla disponibilità e sicurezza di GitLab.com. I problemi di sicurezza che non sono vulnerabilità sono visibili sul nostro issue tracker pubblico.

Issue riservate

Quando viene scoperta una vulnerabilità, creiamo una issue riservata per tracciarla internamente. Le patch di sicurezza vengono inviate a dev.gitlab.org, che non è accessibile al pubblico, e unite nel ramo security. Non dovrebbero comparire su GitLab.com finché la release di sicurezza non è stata annunciata e i pacchetti aggiornati non sono disponibili.

I dettagli sono disponibili nel nostro processo di release critica.