GitLab: Beleid voor verantwoorde melding

• Contact: security@gitlab.com
• Website: https://about.gitlab.com/disclosure/
• Gecontroleerd: 2017-09-21

Mail naar security@gitlab.com om beveiligingskwetsbaarheden te melden. We bevestigen de ontvangst van je kwetsbaarheidsmelding de volgende werkdag en streven ernaar je regelmatig updates over onze voortgang te sturen. Als je benieuwd bent naar de status van je melding, mail ons dan gerust opnieuw. Als je je meldingsmail wilt versleutelen, mail ons dan om onze PGP-sleutel te vragen.

Je kunt je melding ook via HackerOne naar ons sturen.

Vraag geen vergoeding voor het melden van kwetsbaarheden. Als je dat wilt, bedanken we je openlijk voor je verantwoorde melding. We proberen het vertrouwelijke issue ook openbaar te maken nadat de kwetsbaarheid is aangekondigd, zie voor een voorbeeld ons issue over de functie om je als een andere gebruiker voor te doen. HackerOne maakt de bugrapporten ook na 30 dagen openbaar als geen van beide partijen bezwaar maakt, zie voor een voorbeeld het rapport over een persistente XSS op een openbare projectpagina.

Je mag niet zoeken naar kwetsbaarheden op GitLab.com zelf. GitLab is open-sourcesoftware, je kunt zelf een kopie installeren en daartegen testen. Je kunt CE, EE of de GitLab Development Kit downloaden. Als je wilt testen zonder GitLab zelf in te richten, neem dan contact met ons op om toegang tot een stagingserver te regelen.

Meer details over hoe we met beveiligingsreleases omgaan, vind je hier.

Op onze website vind je meer over de beschikbaarheid en beveiliging van GitLab.com. Beveiligingskwesties die geen kwetsbaarheden zijn, zijn te zien op onze openbare issuetracker.

Vertrouwelijke issues

Wanneer een kwetsbaarheid wordt ontdekt, maken we een vertrouwelijk issue aan om deze intern bij te houden. Beveiligingspatches worden gepusht naar dev.gitlab.org, dat niet openbaar toegankelijk is, en samengevoegd in de security-branch. Ze mogen niet op GitLab.com verschijnen totdat de beveiligingsrelease is aangekondigd en bijgewerkte pakketten beschikbaar zijn.

Details vind je in ons kritieke releaseproces.