Coordinated vulnerability disclosure
← Políticas

GitLab: Política de divulgação responsável

Envie um correio eletrónico para security@gitlab.com para comunicar quaisquer vulnerabilidades de segurança. Acusaremos a receção do seu relatório de vulnerabilidade no dia útil seguinte e esforçar-nos-emos por lhe enviar atualizações regulares sobre o nosso progresso. Se tiver curiosidade sobre o estado da sua divulgação, não hesite em enviar-nos novamente um correio eletrónico. Se quiser cifrar o seu correio eletrónico de divulgação, envie-nos um correio eletrónico a pedir a nossa chave PGP.

Em alternativa, também pode enviar-nos o seu relatório através do HackerOne.

Abstenha-se de pedir compensação por comunicar vulnerabilidades. Se quiser, reconheceremos publicamente a sua divulgação responsável. Também tentamos tornar público o issue confidencial depois de a vulnerabilidade ser anunciada; para um exemplo, veja o nosso issue sobre a funcionalidade de personificação. O HackerOne também torna os relatórios de erros públicos após 30 dias se nenhuma das partes se opuser; para um exemplo, veja o relatório de um XSS persistente na página de um projeto público.

Não lhe é permitido procurar vulnerabilidades no próprio GitLab.com. O GitLab é software de código aberto; pode instalar uma cópia e testar nela. Pode descarregar o CE, o EE ou o GitLab Development Kit. Se quiser fazer testes sem configurar o GitLab por si, contacte-nos para organizar o acesso a um servidor de teste (staging).

Pode encontrar mais detalhes sobre como tratamos as versões de segurança aqui.

No nosso sítio web pode saber mais sobre a disponibilidade e a segurança do GitLab.com. Os problemas de segurança que não são vulnerabilidades podem ser vistos no nosso rastreador público de issues.

Issues confidenciais

Quando uma vulnerabilidade é descoberta, criamos um issue confidencial para a acompanhar internamente. As correções de segurança são enviadas para dev.gitlab.org, que não é acessível publicamente, e integradas no ramo security. Não devem aparecer em GitLab.com até a versão de segurança ser anunciada e haver pacotes atualizados disponíveis.

Os detalhes podem ser encontrados no nosso processo de versões críticas.