Coordinated vulnerability disclosure
← Polityki

GitLab: polityka odpowiedzialnego ujawniania

Aby zgłosić jakiekolwiek podatności w zabezpieczeniach, wyślij e-mail na adres security@gitlab.com. Potwierdzimy otrzymanie twojego zgłoszenia podatności w następnym dniu roboczym i postaramy się przesyłać ci regularne informacje o postępach. Jeśli interesuje cię stan twojego zgłoszenia, napisz do nas ponownie. Jeśli chcesz zaszyfrować e-mail ze zgłoszeniem, poproś nas e-mailem o nasz klucz PGP.

Możesz również przesłać nam zgłoszenie za pośrednictwem HackerOne.

Prosimy o niedomaganie się wynagrodzenia za zgłaszanie podatności. Jeśli chcesz, publicznie docenimy twoje odpowiedzialne ujawnienie. Staramy się też upublicznić poufne zgłoszenie po ogłoszeniu podatności, przykład znajdziesz w naszym zgłoszeniu dotyczącym funkcji podszywania się. HackerOne również upublicznia raporty o błędach po 30 dniach, jeśli żadna ze stron się nie sprzeciwi, przykład znajdziesz w raporcie o trwałym XSS na publicznej stronie projektu.

Nie wolno ci szukać podatności w samym GitLab.com. GitLab to oprogramowanie open source, możesz zainstalować własną kopię i testować na niej. Możesz pobrać CE, EE lub GitLab Development Kit. Jeśli chcesz przeprowadzić testy bez samodzielnej konfiguracji GitLaba, skontaktuj się z nami, aby uzgodnić dostęp do serwera staging.

Więcej szczegółów o tym, jak postępujemy z wydaniami bezpieczeństwa, znajdziesz tutaj.

Na naszej stronie możesz dowiedzieć się więcej o dostępności i bezpieczeństwie GitLab.com. Problemy z bezpieczeństwem, które nie są podatnościami, można zobaczyć w naszym publicznym systemie śledzenia zgłoszeń.

Zgłoszenia poufne

Gdy zostanie odkryta podatność, tworzymy zgłoszenie poufne, aby śledzić ją wewnętrznie. Poprawki bezpieczeństwa są przesyłane do dev.gitlab.org, który nie jest publicznie dostępny, i scalane z gałęzią security. Nie powinny pojawiać się w GitLab.com, dopóki nie zostanie ogłoszone wydanie bezpieczeństwa i nie będą dostępne zaktualizowane pakiety.

Szczegóły można znaleźć w naszym procesie wydań krytycznych.