Coordinated vulnerability disclosure
← Politici

GitLab: politica de divulgare responsabilă

Vă rugăm să trimiteți un e-mail la security@gitlab.com pentru a raporta orice vulnerabilități de securitate. Vom confirma primirea raportului dumneavoastră de vulnerabilitate în ziua lucrătoare următoare și ne vom strădui să vă trimitem actualizări regulate despre progresul nostru. Dacă sunteți curios despre starea divulgării dumneavoastră, nu ezitați să ne scrieți din nou. Dacă doriți să criptați e-mailul de divulgare, scrieți-ne pentru a cere cheia noastră PGP.

Alternativ, ne puteți trimite raportul și prin HackerOne.

Vă rugăm să vă abțineți de la a cere compensații pentru raportarea vulnerabilităților. Dacă doriți, vom recunoaște public divulgarea dumneavoastră responsabilă. Încercăm, de asemenea, să facem publică problema confidențială după ce vulnerabilitatea este anunțată, pentru un exemplu vedeți problema funcției de uzurpare a identității. HackerOne face, de asemenea, rapoartele de erori publice după 30 de zile dacă niciuna dintre părți nu se opune, pentru un exemplu vedeți raportul pentru un XSS persistent pe pagina unui proiect public.

Nu vi se permite să căutați vulnerabilități pe GitLab.com însuși. GitLab este software open source, puteți instala o copie proprie și testa pe aceasta. Puteți descărca fie CE, EE, fie GitLab Development Kit. Dacă doriți să efectuați teste fără a configura singur GitLab, vă rugăm să ne contactați pentru a stabili accesul la un server de staging.

Puteți găsi mai multe detalii despre modul în care gestionăm versiunile de securitate aici.

Pe site-ul nostru puteți afla mai multe despre disponibilitatea și securitatea GitLab.com. Problemele de securitate care nu sunt vulnerabilități pot fi văzute în trackerul nostru public de probleme.

Probleme confidențiale

Când este descoperită o vulnerabilitate, creăm o problemă confidențială pentru a o urmări intern. Patch-urile de securitate sunt trimise pe dev.gitlab.org, care nu este accesibil public, și îmbinate în ramura security. Ele nu ar trebui să apară pe GitLab.com până când versiunea de securitate nu a fost anunțată și pachetele actualizate nu sunt disponibile.

Detaliile pot fi găsite în procesul nostru de lansare critică.