GitLab: ذمہ دارانہ افشا کی پالیسی

• رابطہ: security@gitlab.com
• ویب سائٹ: https://about.gitlab.com/disclosure/
• تصدیق شدہ: 2017-09-21

کسی بھی سیکیورٹی کمزوری کی اطلاع دینے کے لیے براہ کرم security@gitlab.com پر ای میل کریں۔ ہم اگلے کاروباری دن آپ کی کمزوری کی رپورٹ کی وصولی کی تصدیق کریں گے اور اپنی پیش رفت کے بارے میں باقاعدہ اپ ڈیٹس بھیجنے کی کوشش کریں گے۔ اگر آپ اپنے افشا کی حیثیت جاننا چاہتے ہیں تو بلا جھجک ہمیں دوبارہ ای میل کریں۔ اگر آپ اپنی افشا کی ای میل کو انکرپٹ کرنا چاہتے ہیں تو براہ کرم ہمارا PGP کلید مانگنے کے لیے ہمیں ای میل کریں۔

متبادل طور پر آپ اپنی رپورٹ ہمیں HackerOne کے ذریعے بھی بھیج سکتے ہیں۔

براہ کرم کمزوریوں کی اطلاع دینے کے لیے معاوضہ مانگنے سے گریز کریں۔ اگر آپ چاہیں تو ہم آپ کے ذمہ دارانہ افشا کو عوامی طور پر تسلیم کریں گے۔ ہم کمزوری کا اعلان ہونے کے بعد خفیہ ایشو کو بھی عوامی بنانے کی کوشش کرتے ہیں، مثال کے لیے ہمارا نقالی کی خصوصیت کا ایشو دیکھیں۔ اگر کوئی فریق اعتراض نہ کرے تو HackerOne بھی بگ رپورٹس کو 30 دن بعد عوامی بنا دیتا ہے، مثال کے لیے عوامی پروجیکٹ کے صفحے پر مستقل XSS کی رپورٹ دیکھیں۔

آپ کو خود GitLab.com پر کمزوریاں تلاش کرنے کی اجازت نہیں۔ GitLab اوپن سورس سافٹ ویئر ہے، آپ خود ایک کاپی انسٹال کر کے اس پر ٹیسٹ کر سکتے ہیں۔ آپ CE، EE، یا GitLab Development Kit ڈاؤن لوڈ کر سکتے ہیں۔ اگر آپ GitLab خود سیٹ اپ کیے بغیر ٹیسٹنگ کرنا چاہتے ہیں تو براہ کرم اسٹیجنگ سرور تک رسائی کا انتظام کرنے کے لیے ہم سے رابطہ کریں۔

ہم سیکیورٹی ریلیزز کو کیسے سنبھالتے ہیں اس کی مزید تفصیلات یہاں مل سکتی ہیں۔

ہماری ویب سائٹ پر آپ GitLab.com کی دستیابی اور سیکیورٹی کے بارے میں مزید جان سکتے ہیں۔ سیکیورٹی کے وہ مسائل جو کمزوریاں نہیں ہیں ہمارے عوامی ایشو ٹریکر پر دیکھے جا سکتے ہیں۔

خفیہ ایشوز

جب کوئی کمزوری دریافت ہوتی ہے تو ہم اسے اندرونی طور پر ٹریک کرنے کے لیے ایک خفیہ ایشو بناتے ہیں۔ سیکیورٹی پیچ dev.gitlab.org پر پش کیے جاتے ہیں، جو عوامی طور پر قابل رسائی نہیں، اور security برانچ میں ضم کیے جاتے ہیں۔ انہیں GitLab.com پر اس وقت تک ظاہر نہیں ہونا چاہیے جب تک سیکیورٹی ریلیز کا اعلان نہ ہو اور اپ ڈیٹ شدہ پیکجز دستیاب نہ ہوں۔

تفصیلات ہمارے نازک ریلیز کے عمل میں مل سکتی ہیں۔