Coordinated vulnerability disclosure
← Політики

GitLab: політика відповідального розкриття

Щоб повідомити про будь-які вразливості безпеки, надішліть лист на адресу security@gitlab.com. Ми підтвердимо отримання вашого звіту про вразливість наступного робочого дня та намагатимемося надсилати вам регулярні оновлення про наш прогрес. Якщо вас цікавить стан вашого повідомлення, сміливо напишіть нам знову. Якщо ви хочете зашифрувати лист із повідомленням, напишіть нам, щоб запросити наш PGP-ключ.

Також ви можете надіслати нам свій звіт через HackerOne.

Просимо не вимагати винагороди за повідомлення про вразливості. Якщо хочете, ми публічно визнаємо ваше відповідальне розкриття. Ми також намагаємося зробити конфіденційну issue публічною після оголошення вразливості, приклад дивіться в нашій issue про функцію видавання себе за іншого користувача. HackerOne також робить звіти про помилки публічними через 30 днів, якщо жодна зі сторін не заперечує, приклад дивіться в звіті про постійний XSS на публічній сторінці проєкту.

Вам не дозволено шукати вразливості в самому GitLab.com. GitLab — це програмне забезпечення з відкритим кодом, ви можете встановити власну копію та тестувати на ній. Ви можете завантажити CE, EE або GitLab Development Kit. Якщо ви хочете виконувати тестування без самостійного налаштування GitLab, зв'яжіться з нами, щоб домовитися про доступ до staging-сервера.

Докладніше про те, як ми обробляємо випуски безпеки, дивіться тут.

На нашому вебсайті ви можете дізнатися більше про доступність і безпеку GitLab.com. Проблеми безпеки, що не є вразливостями, можна побачити в нашому публічному трекері issues.

Конфіденційні issues

Коли виявлено вразливість, ми створюємо конфіденційну issue для її внутрішнього відстеження. Патчі безпеки надсилаються на dev.gitlab.org, який не є публічно доступним, і зливаються в гілку security. Вони не повинні з'являтися на GitLab.com, доки не буде оголошено випуск безпеки та не стануть доступними оновлені пакети.

Подробиці можна знайти в нашому процесі критичних випусків.