Coordinated vulnerability disclosure
← Politikos

GitLab: atsakingo atskleidimo politika

Apie bet kokius saugumo pažeidžiamumus prašome pranešti el. paštu security@gitlab.com. Kitą darbo dieną patvirtinsime, kad gavome jūsų pranešimą apie pažeidžiamumą, ir stengsimės reguliariai siųsti naujienas apie mūsų pažangą. Jei domitės savo pranešimo būsena, drąsiai parašykite mums dar kartą. Jei norite užšifruoti savo atskleidimo laišką, parašykite mums ir paprašykite mūsų PGP rakto.

Arba galite atsiųsti pranešimą per HackerOne.

Prašome neprašyti kompensacijos už pranešimą apie pažeidžiamumus. Jei norite, mes viešai padėkosime už jūsų atsakingą atskleidimą. Taip pat stengiamės konfidencialią problemą paskelbti viešai po to, kai pažeidžiamumas paskelbiamas; pavyzdžiui, žr. mūsų tapatybės pasisavinimo funkcijos problemą. HackerOne taip pat viešina pranešimus apie klaidas po 30 dienų, jei nė viena šalis neprieštarauja; pavyzdžiui, žr. pranešimą apie nuolatinį XSS viešo projekto puslapyje.

Jums neleidžiama ieškoti pažeidžiamumų pačioje GitLab.com. GitLab yra atvirojo kodo programinė įranga, todėl galite įsidiegti jos kopiją patys ir testuoti joje. Galite atsisiųsti CE, EE arba GitLab Development Kit. Jei norite testuoti patys nesidiegdami GitLab, susisiekite su mumis ir susitarkite dėl prieigos prie bandomojo (staging) serverio.

Daugiau informacijos apie tai, kaip tvarkome saugumo laidas, rasite čia.

Mūsų svetainėje galite rasti daugiau apie GitLab.com prieinamumą ir saugumą. Saugumo problemas, kurios nėra pažeidžiamumai, galima matyti mūsų viešoje problemų sekimo sistemoje.

Konfidencialios problemos

Aptikę pažeidžiamumą, sukuriame konfidencialią problemą, kad galėtume ją sekti viduje. Saugumo pataisos perkeliamos į dev.gitlab.org, kuri nėra viešai prieinama, ir suliejamos į security šaką. Jos neturėtų pasirodyti GitLab.com, kol nebus paskelbta apie saugumo laidą ir nebus pasiekiami atnaujinti paketai.

Išsamią informaciją rasite mūsų kritinių laidų procese.