Coordinated vulnerability disclosure
← Политики

GitLab: Политика ответственного раскрытия

Пожалуйста, пишите на security@gitlab.com, чтобы сообщить о любых уязвимостях безопасности. Мы подтвердим получение вашего сообщения об уязвимости на следующий рабочий день и постараемся присылать вам регулярные обновления о нашем прогрессе. Если вам любопытно, в каком состоянии ваше раскрытие, пожалуйста, не стесняйтесь написать нам снова. Если вы хотите зашифровать письмо с раскрытием, напишите нам, чтобы запросить наш ключ PGP.

Кроме того, вы можете отправить сообщение через HackerOne.

Пожалуйста, воздержитесь от требований компенсации за сообщения об уязвимостях. Если хотите, мы публично поблагодарим вас за ответственное раскрытие. Мы также стараемся сделать конфиденциальную задачу публичной после объявления об уязвимости, пример — наша задача о функции имитации пользователя. HackerOne также делает отчёты об ошибках публичными через 30 дней, если ни одна из сторон не возражает, пример — отчёт о сохранённой XSS на странице публичного проекта.

Вам не разрешено искать уязвимости на самом GitLab.com. GitLab — это программное обеспечение с открытым исходным кодом, вы можете установить собственную копию и тестировать на ней. Вы можете скачать CE, EE или GitLab Development Kit. Если вы хотите провести тестирование, не настраивая GitLab самостоятельно, свяжитесь с нами, чтобы организовать доступ к промежуточному (staging) серверу.

Подробнее о том, как мы обрабатываем релизы безопасности, можно узнать здесь.

На нашем сайте вы можете узнать больше о доступности и безопасности GitLab.com. Проблемы безопасности, не являющиеся уязвимостями, можно увидеть в нашем публичном трекере задач.

Конфиденциальные задачи

Когда обнаруживается уязвимость, мы создаём конфиденциальную задачу, чтобы отслеживать её внутри компании. Исправления безопасности отправляются на dev.gitlab.org, который недоступен публично, и сливаются в ветку security. Они не должны появляться на GitLab.com, пока не будет объявлено о релизе безопасности и не станут доступны обновлённые пакеты.

Подробности можно найти в нашем процессе критических релизов.