Coordinated vulnerability disclosure
← Policyer

GitLab: Policy för ansvarsfullt röjande

Skicka e-post till security@gitlab.com för att rapportera säkerhetssårbarheter. Vi bekräftar mottagandet av din sårbarhetsrapport nästa arbetsdag och strävar efter att skicka regelbundna uppdateringar om våra framsteg. Om du undrar hur det går med ditt röjande får du gärna e-posta oss igen. Om du vill kryptera din e-post med röjandet, e-posta oss och be om vår PGP-nyckel.

Alternativt kan du också skicka oss din rapport via HackerOne.

Avstå från att begära ersättning för att rapportera sårbarheter. Om du vill tackar vi offentligt för ditt ansvarsfulla röjande. Vi försöker också göra det konfidentiella ärendet offentligt efter att sårbarheten har tillkännagivits, för ett exempel se vårt ärende om funktionen för att utge sig för att vara en annan användare. HackerOne gör också felrapporterna offentliga efter 30 dagar om ingen av parterna invänder, för ett exempel se rapporten om en beständig XSS på en offentlig projektsida.

Du får inte söka efter sårbarheter på GitLab.com självt. GitLab är programvara med öppen källkod, så du kan installera en egen kopia och testa mot den. Du kan antingen ladda ner CE, EE eller GitLab Development Kit. Om du vill testa utan att själv installera GitLab, kontakta oss så ordnar vi åtkomst till en staging-server.

Mer information om hur vi hanterar säkerhetsutgåvor finns här.

På vår webbplats kan du läsa mer om tillgängligheten och säkerheten för GitLab.com. Säkerhetsproblem som inte är sårbarheter kan ses i vår offentliga ärendehanterare.

Konfidentiella ärenden

När en sårbarhet upptäcks skapar vi ett konfidentiellt ärende för att spåra den internt. Säkerhetskorrigeringar skickas till dev.gitlab.org, som inte är offentligt tillgänglig, och slås ihop i grenen security. De ska inte visas på GitLab.com förrän säkerhetsutgåvan har tillkännagivits och uppdaterade paket finns tillgängliga.

Detaljer finns i vår kritiska utgivningsprocess.