Coordinated vulnerability disclosure
← ポリシー

GitLab: 責任ある開示ポリシー

セキュリティ上の脆弱性を報告するには、security@gitlab.com にメールしてください。脆弱性報告の受領は翌営業日にお知らせし、進捗について定期的に更新をお送りするよう努めます。開示の状況が気になる場合は、遠慮なくもう一度メールしてください。開示メールを暗号化したい場合は、PGP キーについてメールでお問い合わせください。

あるいは、HackerOne 経由で報告を送ることもできます。

脆弱性の報告に対して報酬を要求することはご遠慮ください。ご希望であれば、あなたの責任ある開示を公に謝辞として記載します。また、脆弱性が発表された後、機密扱いの issue を公開するようにもしています。例として、なりすまし機能の issue をご覧ください。HackerOne も、どちらの当事者も異議を唱えなければ、30日後にバグ報告を公開します。例として、公開プロジェクトページにおける持続型 XSS の報告をご覧ください。

GitLab.com そのものに対して脆弱性を探すことは許可されていません。GitLab はオープンソースソフトウェアですので、ご自身でコピーをインストールし、それに対してテストできます。CE、EE、または GitLab Development Kit をダウンロードできます。GitLab を自分でセットアップせずにテストしたい場合は、ステージングサーバーへのアクセスを手配しますのでご連絡ください。

セキュリティリリースの扱いについての詳細は、こちらでご覧いただけます。

当社のウェブサイトでは、GitLab.com の可用性とセキュリティについてさらにご覧いただけます。脆弱性ではないセキュリティ上の問題は、当社の公開 issue トラッカーで確認できます。

機密扱いの issue

脆弱性が発見されると、社内で追跡するために機密扱いの issue を作成します。セキュリティパッチは、一般には公開されていない dev.gitlab.org にプッシュされ、security ブランチにマージされます。セキュリティリリースが発表され、更新されたパッケージが利用可能になるまでは、GitLab.com に現れてはなりません。

詳細は、当社のクリティカルリリースプロセスでご覧いただけます。