Coordinated vulnerability disclosure
← Politikas

GitLab: atbildīgas atklāšanas politika

Lūdzu, rakstiet uz security@gitlab.com, lai ziņotu par jebkurām drošības ievainojamībām. Mēs apstiprināsim jūsu ievainojamības ziņojuma saņemšanu nākamajā darbadienā un centīsimies regulāri sūtīt jums jaunumus par mūsu progresu. Ja interesē jūsu atklājuma statuss, droši rakstiet mums vēlreiz. Ja vēlaties šifrēt savu atklāšanas e-pastu, lūdzu, uzrakstiet mums, lai lūgtu mūsu PGP atslēgu.

Varat arī nosūtīt mums savu ziņojumu, izmantojot HackerOne.

Lūdzu, nepieprasiet atlīdzību par ievainojamību ziņošanu. Ja vēlaties, mēs publiski atzīsim jūsu atbildīgo atklāšanu. Mēs arī cenšamies padarīt konfidenciālo problēmu publisku pēc ievainojamības paziņošanas; piemēru skatiet mūsu uzdošanās citam lietotājam funkcijas problēmā. HackerOne arī publisko kļūdu ziņojumus pēc 30 dienām, ja neviena puse neiebilst; piemēru skatiet ziņojumā par pastāvīgu XSS publiskā projekta lapā.

Jums nav atļauts meklēt ievainojamības pašā GitLab.com. GitLab ir atvērtā koda programmatūra, tāpēc jūs varat pats uzstādīt kopiju un testēt tajā. Varat lejupielādēt CE, EE vai GitLab Development Kit. Ja vēlaties veikt testēšanu, pats neuzstādot GitLab, lūdzu, sazinieties ar mums, lai vienotos par piekļuvi testa serverim (staging).

Sīkāku informāciju par to, kā mēs apstrādājam drošības laidienus, varat atrast šeit.

Mūsu vietnē varat uzzināt vairāk par GitLab.com pieejamību un drošību. Drošības problēmas, kas nav ievainojamības, var redzēt mūsu publiskajā problēmu izsekotājā.

Konfidenciālas problēmas

Kad tiek atklāta ievainojamība, mēs izveidojam konfidenciālu problēmu, lai to izsekotu iekšēji. Drošības ielāpi tiek iesūtīti dev.gitlab.org, kas nav publiski pieejams, un tiek iekļauti security zarā. Tiem nevajadzētu parādīties GitLab.com, kamēr nav paziņots par drošības laidienu un nav pieejamas atjauninātas pakotnes.

Sīkāku informāciju varat atrast mūsu kritisko laidienu procesā.