Coordinated vulnerability disclosure
← Politike

GitLab: Politika odgovornega razkrivanja

Za prijavo kakršnih koli varnostnih ranljivosti pošljite e-pošto na security@gitlab.com. Prejem vašega poročila o ranljivosti bomo potrdili naslednji delovni dan in si prizadevali, da vam redno pošiljamo novice o napredku. Če vas zanima stanje vašega razkritja, nam lahko znova pišete. Če želite svojo e-pošto z razkritjem šifrirati, nam pišite in zaprosite za naš ključ PGP.

Poročilo nam lahko pošljete tudi prek HackerOne.

Prosimo, da za prijavo ranljivosti ne zahtevate nadomestila. Če želite, bomo vaše odgovorno razkritje javno priznali. Prizadevamo si tudi, da zaupno težavo po objavi ranljivosti naredimo javno; za primer glejte našo težavo z funkcijo posnemanja identitete. HackerOne prav tako objavi poročila o napakah javno po 30 dneh, če nobena stran ne ugovarja; za primer glejte poročilo o trajnem XSS na javni strani projekta.

Iskanje ranljivosti na samem GitLab.com ni dovoljeno. GitLab je odprtokodna programska oprema, zato lahko sami namestite kopijo in testirate na njej. Prenesete lahko CE, EE ali GitLab Development Kit. Če želite testirati, ne da bi GitLab sami postavili, nas kontaktirajte in uredili bomo dostop do preskusnega strežnika.

Več podrobnosti o tem, kako ravnamo z varnostnimi izdajami, najdete tukaj.

Na našem spletnem mestu lahko izveste več o razpoložljivosti in varnosti GitLab.com. Varnostne težave, ki niso ranljivosti, si lahko ogledate v našem javnem sledilniku težav.

Zaupne težave

Ko odkrijemo ranljivost, ustvarimo zaupno težavo za njeno interno sledenje. Varnostni popravki se potisnejo na dev.gitlab.org, ki ni javno dostopen, in se združijo v vejo security. Na GitLab.com se ne smejo pojaviti, dokler varnostna izdaja ni objavljena in posodobljeni paketi niso na voljo.

Podrobnosti najdete v našem postopku kritičnih izdaj.