Обработка уязвимостей и инцидентов¶
Отчёты об уязвимостях продукта¶
См. также
Пожалуйста, прочитайте Использование ИИ для создания вопросов/проблем на случай, если вы использовали ИИ для обнаружения проблемы безопасности в Weblate.
Команда разработчиков Weblate решительно стремится к ответственному сообщению и раскрытию проблем, связанных с безопасностью. Мы приняли и следуем политикам, направленным на своевременное предоставление обновлений безопасности для Weblate.
Отчёты об уязвимостях продукта охватывают проблемы безопасности в исходном коде Weblate, артефактах выпуска и документированных свойствах безопасности Weblate. Они не заменяют реагирование на операционные инциденты для конкретного развёртывания.
Отчёты, касающиеся отдельно распространяемого клиента Weblate (wlc), оцениваются в соответствии с wlc threat model, который документирует его предполагаемые границы доверия, поддерживаемые свойства безопасности и явные нецели.
Большинство обычных ошибок в Weblate сообщается в наш публичный трекер вопросов GitHub, но из-за чувствительного характера проблем безопасности мы просим не сообщать о них публично таким образом.
Вместо этого, если вы считаете, что нашли в Weblate нечто, имеющее последствия для безопасности, пожалуйста, отправьте описание проблемы по адресу security@weblate.org, на GitHub или через HackerOne.
Операторы самостоятельного хостинга должны использовать этот процесс, когда они полагают, что инцидент в их собственном развёртывании вызван уязвимостью продукта Weblate. Локальное сдерживание, восстановление, уведомление клиентов, эскалация поставщику и другие специфические для развёртывания действия по реагированию на инциденты остаются ответственностью оператора.
Член команды безопасности ответит вам в течение 48 часов, и в зависимости от предпринятых действий вы можете получить дополнительные письма. Подозрения на активную эксплуатацию и серьёзные инциденты безопасности получают немедленное внутреннее внимание в соответствии с Сообщение об инцидентах. Подтверждение получения сообщения или завершение расследования не откладывает сроки отчётности.
Примечание
Отправка зашифрованных отчётов
Если вы хотите отправить зашифрованное электронное письмо (необязательно), пожалуйста, используйте открытый ключ для security@weblate.org с идентификатором 8EA7 6E43 0976 3323 C2E3 D5A0 C472 9F23 8A80 EA93.
Этот открытый ключ доступен на наиболее часто используемых серверах ключей, с использованием WKD или напрямую с weblate.org.
Подсказка
Weblate зависит от сторонних компонентов во многих аспектах. Если вы нашли уязвимость, затрагивающую один из этих компонентов в целом, сообщите о ней непосредственно в соответствующий проект. Если она также затрагивает поставляемый артефакт Weblate или развёртывание Weblate, сообщите об этом воздействии в Weblate через указанные выше приватные каналы.
Некоторые из них:
См. также
Инциденты услуг, управляемых Weblate¶
Операционные инциденты, затрагивающие Hosted Weblate, Dedicated Weblate или другие развёртывания, управляемые Weblate s.r.o., обрабатываются с использованием План реагирования на инциденты для Weblate.
Когда такой инцидент также включает уязвимость продукта Weblate, отчёт об уязвимости и публичное уведомление следуют процессу сообщения об уязвимостях продукта и Политика раскрытия уязвимостей на этой странице.
Инциденты развёртывания на собственном хостинге¶
Операторы развёртываний Weblate на собственном хостинге несут ответственность за свой локальный процесс реагирования на инциденты, включая сдерживание, восстановление, уведомление и эскалацию, специфичную для поставщика. Управляемый Weblate План реагирования на инциденты для Weblate может использоваться как справочный материал, но не является поддерживаемым планом реагирования на инциденты для сторонних развёртываний.
Если инцидент на собственном хостинге, по-видимому, вызван уязвимостью продукта Weblate, сообщите о нём, используя описанный выше процесс сообщения об уязвимостях продукта.
Политика раскрытия уязвимостей¶
Weblate публикует уведомление о безопасности вместе с выпуском, содержащим исправление уязвимости, по адресу https://github.com/WeblateOrg/weblate/security/advisories. Уведомления указывают затронутые версии, воздействие, серьёзность и шаги, которые пользователи могут предпринять для устранения уязвимости.
Технические подробности могут быть отложены, когда их публикация создаст больше рисков для безопасности, чем пользы, пока пользователи применяют исправление. Ответственный за инцидент записывает причину и дату пересмотра в приватную заметку об инциденте. Это не откладывает отчёты перед органами или защитные рекомендации, необходимые пользователям.
Уведомления пользователей¶
Weblate информирует затронутых пользователей об активной эксплуатации или серьёзных инцидентах безопасности без неоправданной задержки, включая доступные меры по смягчению и корректирующие действия. Где уместно, предупреждения адресованы всем пользователям. Известные затронутые контакты, включая клиентов Hosted и Dedicated Weblate, получают уведомления по электронной почте. Публичные уведомления о безопасности GitHub предоставляют предупреждения и обновления для пользователей самостоятельно размещённых установок, чьи контактные данные неизвестны.
Первоначальные предупреждения могут предоставить защитные рекомендации до готовности исправления или подробного раскрытия уязвимости. Отчётность перед органами, предупреждения пользователей и публикация технических подробностей выполняются отдельно по мере необходимости.
Утечки персональных данных также требуют отдельной оценки уведомлений затронутых лиц, даже когда нет активной эксплуатации или серьёзного инцидента безопасности продукта.