Coordinated vulnerability disclosure
← 정책

GitLab: 책임 있는 공개 정책

보안 취약점을 보고하려면 security@gitlab.com으로 이메일을 보내 주세요. 취약점 보고서 접수는 다음 영업일에 확인해 드리며, 진행 상황에 대한 정기적인 업데이트를 보내 드리도록 노력합니다. 공개 상태가 궁금하시면 언제든지 다시 이메일을 보내 주세요. 공개 이메일을 암호화하고 싶으시면 PGP 키를 요청하는 이메일을 보내 주세요.

또는 HackerOne을 통해 보고서를 보내셔도 됩니다.

취약점 보고에 대한 보상 요구는 삼가 주세요. 원하시면 귀하의 책임 있는 공개를 공개적으로 감사 표기해 드립니다. 또한 취약점이 발표된 후에는 비공개 이슈를 공개로 전환하려고 합니다. 예시는 사칭 기능 이슈를 참조하세요. HackerOne도 어느 쪽도 반대하지 않으면 30일 후에 버그 보고서를 공개합니다. 예시는 공개 프로젝트 페이지의 지속형 XSS 보고서를 참조하세요.

GitLab.com 자체에서 취약점을 찾는 것은 허용되지 않습니다. GitLab은 오픈 소스 소프트웨어이므로 직접 사본을 설치하여 테스트할 수 있습니다. CE, EE, 또는 GitLab Development Kit를 다운로드할 수 있습니다. GitLab을 직접 설정하지 않고 테스트하고 싶으시면 스테이징 서버 접근을 마련해 드릴 수 있도록 연락해 주세요.

보안 릴리스를 처리하는 방법에 대한 자세한 내용은 여기에서 확인하실 수 있습니다.

저희 웹사이트에서 GitLab.com의 가용성과 보안에 대해 더 알아보실 수 있습니다. 취약점이 아닌 보안 문제는 저희 공개 이슈 트래커에서 볼 수 있습니다.

비공개 이슈

취약점이 발견되면 내부적으로 추적하기 위해 비공개 이슈를 만듭니다. 보안 패치는 일반에 공개되지 않는 dev.gitlab.org에 푸시되고 security 브랜치로 병합됩니다. 보안 릴리스가 발표되고 업데이트된 패키지를 사용할 수 있을 때까지는 GitLab.com에 나타나서는 안 됩니다.

자세한 내용은 저희의 중요 릴리스 프로세스에서 확인하실 수 있습니다.