Coordinated vulnerability disclosure
← นโยบาย

GitLab: นโยบายการเปิดเผยอย่างรับผิดชอบ

โปรดส่งอีเมลไปที่ security@gitlab.com เพื่อรายงานช่องโหว่ด้านความปลอดภัยใด ๆ เราจะยืนยันการได้รับรายงานช่องโหว่ของคุณในวันทำการถัดไป และพยายามส่งความคืบหน้าให้คุณเป็นระยะ หากคุณสงสัยเกี่ยวกับสถานะการเปิดเผยของคุณ สามารถส่งอีเมลหาเราอีกครั้งได้เลย หากคุณต้องการเข้ารหัสอีเมลการเปิดเผยของคุณ โปรดส่งอีเมลมาขอกุญแจ PGPของเรา

หรือคุณอาจส่งรายงานของคุณให้เราผ่าน HackerOne ก็ได้

โปรดงดเว้นการเรียกร้องค่าตอบแทนสำหรับการรายงานช่องโหว่ หากคุณต้องการ เราจะประกาศยกย่องต่อสาธารณะถึงการเปิดเผยอย่างรับผิดชอบของคุณ เรายังพยายามทำให้ issue ที่เป็นความลับเป็นสาธารณะหลังจากประกาศช่องโหว่แล้ว ตัวอย่างเช่น ดูissue เรื่องฟีเจอร์การแอบอ้างตัวตนของเรา HackerOne ยังทำให้รายงานบั๊กเป็นสาธารณะหลัง 30 วันหากไม่มีฝ่ายใดคัดค้าน ตัวอย่างเช่น ดูรายงานเกี่ยวกับ XSS แบบถาวรในหน้าโปรเจกต์สาธารณะ

คุณไม่ได้รับอนุญาตให้ค้นหาช่องโหว่บน GitLab.com โดยตรง GitLab เป็นซอฟต์แวร์โอเพนซอร์ส คุณสามารถติดตั้งสำเนาของตนเองและทดสอบกับสำเนานั้นได้ คุณสามารถดาวน์โหลด CE, EE หรือ GitLab Development Kit หากคุณต้องการทดสอบโดยไม่ต้องตั้งค่า GitLab เอง โปรดติดต่อเราเพื่อจัดการการเข้าถึงเซิร์ฟเวอร์ staging

คุณสามารถดูรายละเอียดเพิ่มเติมเกี่ยวกับวิธีที่เราจัดการการออกรุ่นด้านความปลอดภัยได้ที่นี่

บนเว็บไซต์ของเรา คุณสามารถดูข้อมูลเพิ่มเติมเกี่ยวกับความพร้อมใช้งานและความปลอดภัยของ GitLab.com ปัญหาด้านความปลอดภัยที่ไม่ใช่ช่องโหว่สามารถดูได้ที่issue tracker สาธารณะของเรา

issue ที่เป็นความลับ

เมื่อพบช่องโหว่ เราจะสร้างissue ที่เป็นความลับเพื่อติดตามภายใน แพตช์ความปลอดภัยจะถูกพุชไปที่ dev.gitlab.org ซึ่งไม่เปิดให้สาธารณะเข้าถึง และถูกรวมเข้ากับ branch security แพตช์เหล่านี้ไม่ควรปรากฏบน GitLab.com จนกว่าจะประกาศการออกรุ่นด้านความปลอดภัยและมีแพ็กเกจที่อัปเดตแล้วให้ใช้งาน

ดูรายละเอียดได้ในกระบวนการออกรุ่นวิกฤตของเรา