Coordinated vulnerability disclosure
← Chính sách

GitLab: Chính sách công bố có trách nhiệm

Vui lòng gửi email đến security@gitlab.com để báo cáo bất kỳ lỗ hổng bảo mật nào. Chúng tôi sẽ xác nhận đã nhận báo cáo lỗ hổng của bạn vào ngày làm việc tiếp theo và cố gắng gửi cho bạn các cập nhật thường xuyên về tiến độ. Nếu bạn muốn biết tình trạng báo cáo của mình, hãy cứ gửi email cho chúng tôi lần nữa. Nếu bạn muốn mã hóa email báo cáo, vui lòng gửi email cho chúng tôi để xin khóa PGP của chúng tôi.

Ngoài ra, bạn cũng có thể gửi báo cáo cho chúng tôi qua HackerOne.

Vui lòng không yêu cầu bồi thường khi báo cáo lỗ hổng. Nếu bạn muốn, chúng tôi sẽ công khai ghi nhận việc công bố có trách nhiệm của bạn. Chúng tôi cũng cố gắng công khai issue bí mật sau khi lỗ hổng được thông báo, để xem ví dụ hãy xem issue về tính năng mạo danh của chúng tôi. HackerOne cũng công khai các báo cáo lỗi sau 30 ngày nếu không bên nào phản đối, để xem ví dụ hãy xem báo cáo về XSS lưu trữ trên trang dự án công khai.

Bạn không được phép tìm lỗ hổng trên chính GitLab.com. GitLab là phần mềm mã nguồn mở, bạn có thể tự cài đặt một bản sao và thử nghiệm trên đó. Bạn có thể tải xuống CE, EE, hoặc GitLab Development Kit. Nếu bạn muốn thử nghiệm mà không tự thiết lập GitLab, vui lòng liên hệ chúng tôi để sắp xếp quyền truy cập vào máy chủ staging.

Bạn có thể xem thêm chi tiết về cách chúng tôi xử lý các bản phát hành bảo mật tại đây.

Trên trang web của chúng tôi, bạn có thể tìm hiểu thêm về tính sẵn sàng và bảo mật của GitLab.com. Các vấn đề bảo mật không phải là lỗ hổng có thể xem trên trình theo dõi issue công khai của chúng tôi.

Các issue bí mật

Khi một lỗ hổng được phát hiện, chúng tôi tạo một issue bí mật để theo dõi nội bộ. Các bản vá bảo mật được đẩy lên dev.gitlab.org, nơi không thể truy cập công khai, và được hợp nhất vào nhánh security. Chúng không được xuất hiện trên GitLab.com cho đến khi bản phát hành bảo mật được thông báo và các gói cập nhật đã sẵn sàng.

Chi tiết có thể xem trong quy trình phát hành quan trọng của chúng tôi.