Coordinated vulnerability disclosure
← Zásady

GitLab: Zásady zodpovedného zverejňovania

Akékoľvek bezpečnostné zraniteľnosti nahlásite e-mailom na security@gitlab.com. Prijatie vášho hlásenia o zraniteľnosti potvrdíme nasledujúci pracovný deň a budeme sa snažiť posielať vám pravidelné aktualizácie o našom pokroku. Ak vás zaujíma stav vášho zverejnenia, neváhajte nám napísať znova. Ak chcete e-mail so zverejnením zašifrovať, napíšte nám a požiadajte o náš kľúč PGP.

Alternatívne nám môžete poslať hlásenie cez HackerOne.

Prosíme, nežiadajte odmenu za nahlásenie zraniteľností. Ak si to želáte, vaše zodpovedné zverejnenie verejne uznáme. Dôverný issue sa tiež snažíme sprístupniť verejnosti po oznámení zraniteľnosti, príklad nájdete v našom issue o funkcii vydávania sa za iného používateľa. HackerOne tiež zverejňuje hlásenia o chybách po 30 dňoch, ak žiadna zo strán nenamieta, príklad nájdete v hlásení o trvalom XSS na verejnej stránke projektu.

Nie je vám dovolené hľadať zraniteľnosti priamo na GitLab.com. GitLab je softvér s otvoreným zdrojovým kódom, takže si môžete nainštalovať vlastnú kópiu a testovať na nej. Môžete si stiahnuť CE, EE alebo GitLab Development Kit. Ak chcete testovať bez vlastného nastavenia GitLabu, kontaktujte nás a dohodneme prístup na staging server.

Viac podrobností o tom, ako spracúvame bezpečnostné vydania, nájdete tu.

Na našej webovej stránke nájdete viac o dostupnosti a bezpečnosti GitLab.com. Bezpečnostné problémy, ktoré nie sú zraniteľnosťami, si môžete pozrieť v našom verejnom systéme sledovania issues.

Dôverné issues

Keď sa objaví zraniteľnosť, vytvoríme dôverný issue, aby sme ju interne sledovali. Bezpečnostné záplaty sa odosielajú na dev.gitlab.org, ktorý nie je verejne prístupný, a zlučujú sa do vetvy security. Nemali by sa objaviť na GitLab.com, kým nie je bezpečnostné vydanie oznámené a nie sú dostupné aktualizované balíky.

Podrobnosti nájdete v našom procese kritického vydania.