Riešenie zraniteľností a incidentov¶

Hlásenia o zraniteľnostiach produktu¶

Viď aj

Prosím, prečítajte si Používanie umelej inteligencie na vytváranie hlásení v prípade, že ste použili AI na objavenie bezpečnostného problému vo Weblate.

Vývojársky tím Weblate je pevne oddaný zodpovednému hláseniu a zverejňovaniu problémov týkajúcich sa bezpečnosti. Prijali sme a dodržiavame politiky, ktoré sú zamerané na včasné doručovanie bezpečnostných aktualizácií pre Weblate.

Hlásenia o zraniteľnostiach produktu pokrývajú bezpečnostné problémy v zdrojovom kóde Weblate, artefaktoch vydaní a zdokumentovaných bezpečnostných vlastnostiach Weblate. Nenahrádzajú prevádzkovú reakciu na incidenty pre konkrétne nasadenie.

Hlásenia týkajúce sa samostatne distribuovaného klienta Weblate (wlc) sa hodnotia proti modelu hrozieb wlc, ktorý dokumentuje jeho zamýšľané hranice dôvery, podporované bezpečnostné vlastnosti a explicitné neciele.

Väčšina bežných chýb vo Weblate sa hlási do nášho verejného sledovača problémov na GitHubе, ale kvôli citlivej povahe bezpečnostných problémov žiadame, aby sa nehlásili verejne týmto spôsobom.

Namiesto toho, ak veríte, že ste vo Weblate našli niečo, čo má bezpečnostné dôsledky, prosím, odošlite popis problému na security@weblate.org, GitHub alebo pomocou HackerOne.

Prevádzkovatelia vlastného hosťovania by mali použiť tento proces, keď sa domnievajú, že incident v ich vlastnom nasadení je spôsobený zraniteľnosťou produktu Weblate. Lokálne obsiahnutie, obnova, oznámenie zákazníkovi, eskalácia poskytovateľa a iná reakcia na incidenty špecifická pre nasadenie zostáva zodpovednosťou prevádzkovateľa.

Člen bezpečnostného tímu vám odpovie do 48 hodín a v závislosti od prijatých opatrení môžete dostať ďalšie nasledujúce e-maily. Podozrivé aktívne zneužívanie a vážne bezpečnostné incidenty dostávajú okamžitú internú pozornosť podľa Hlásenie incidentov. Potvrdenie hlásenia alebo dokončenie vyšetrovania neodkladá lehoty hlásenia.

Poznámka

Odosielanie šifrovaných správ

Ak chcete poslať šifrovaný e-mail (voliteľné), prosím, použite verejný kľúč pre security@weblate.org s ID 8EA7 6E43 0976 3323 C2E3 D5A0 C472 9F23 8A80 EA93.

Tento verejný kľúč je dostupný na najbežnejšie používaných serveroch kľúčov, pomocou WKD alebo priamo z weblate.org.

Rada

Weblate závisí od komponentov tretích strán pre mnohé veci. V prípade, že nájdete zraniteľnosť ovplyvňujúcu jeden z týchto komponentov všeobecne, prosím, nahláste ju priamo príslušnému projektu. Ak tiež ovplyvňuje dodaný artefakt Weblate alebo nasadenie Weblate, nahláste tento dopad Weblate cez vyššie uvedené súkromné kanály.

Niektoré z nich sú:

Viď aj

Hlásenie problémov vo Weblate

Incidenty služieb prevádzkovaných Weblate¶

Prevádzkové incidenty ovplyvňujúce Hosted Weblate, Dedicated Weblate alebo iné nasadenia prevádzkované spoločnosťou Weblate s.r.o. sa riešia pomocou Plán reakcie na incidenty pre Weblate.

Keď takýto incident zahŕňa aj zraniteľnosť produktu Weblate, hlásenie o zraniteľnosti a verejné poradenstvo sa riadia procesom hlásenia zraniteľností produktu a Politika zverejňovania zraniteľností na tejto stránke.

Incidenty vlastného nasadenia¶

Prevádzkovatelia vlastných nasadení Weblate sú zodpovední za svoj lokálny proces reakcie na incidenty, vrátane obsiahnutia, obnovy, oznámenia a eskalácie špecifickej pre poskytovateľa. Plán reakcie na incidenty pre Weblate prevádzkovaný Weblate možno použiť ako referenciu, ale nie je to udržiavaný plán reakcie na incidenty pre nasadenia tretích strán.

Ak sa zdá, že incident vlastného nasadenia je spôsobený zraniteľnosťou produktu Weblate, nahláste ho pomocou vyššie uvedeného procesu hlásenia zraniteľností produktu.

Politika zverejňovania zraniteľností¶

Weblate publikuje bezpečnostné poradenstvo spolu s vydaním obsahujúcim opravu zraniteľnosti na https://github.com/WeblateOrg/weblate/security/advisories. Poradenstvá identifikujú dotknuté verzie, dopad, závažnosť a kroky, ktoré môžu používatelia prijať na nápravu zraniteľnosti.

Technické detaily môžu byť oneskorené, keď by ich publikovanie vytvorilo väčšie bezpečnostné riziká ako prínosy, kým používatelia aplikujú opravu. Handler incidentu zaznamená dôvod a dátum preskúmania do súkromnej poznámky o incidente. Toto neodkladá hlásenia orgánom ani ochranné poradenstvo, ktoré používatelia potrebujú.

Hlásenie orgánom¶

Weblate prijíma nasledujúce časové osi hlásenia ako dobrovoľný základ politiky pre aktívne zneužívané zraniteľnosti produktu Weblate a vážne incidenty produktovej bezpečnosti. To zahŕňa dotknuté dodané závislosti a incidenty, o ktorých sa dozvedelo prostredníctvom vlastných nasadení. Vážne bezpečnostné incidenty ovplyvňujúce služby prevádzkované Weblate tiež nasledujú tento základ.

Nahlásiť	Lehota
Skoré varovanie	Bez zbytočného odkladu, do 24 hodín od dozvedenia sa.
Hlavné oznámenie	Bez zbytočného odkladu, do 72 hodín od dozvedenia sa.
Záverečná správa pre aktívne zneužívanú zraniteľnosť	Do 14 dní po dostupnosti nápravného alebo zmiernujúceho opatrenia.
Záverečná správa pre vážny incident	Do jedného kalendárneho mesiaca po hlavnom oznámení incidentu.

Hodiny zahŕňajú víkendy a sviatky. Potvrdenie, vyhlásenie incidentu, odovzdanie alebo dokončenie vyšetrovania nespúšťa tieto hodiny znovu. Keď udalosť zahŕňa oboje, aktívne zneužívanie aj vážny incident, sledujte obe povinnosti hlásenia a lehoty záverečných správ.

Tieto časové osi nasledujú usmernenie Európskej komisie o hlásení. Handler incidentu zaznamená, či platí povinné alebo dobrovoľné hlásenie a používa zodpovedajúcu cestu. Pre hlásenie CRA Jednotná platforma hlásenia smeruje oznámenia na koordinujúci CSIRT a ENISA. Táto politika neurčuje regulačnú rolu Weblate ani netvrdí súlad; pozri Informácie o produkte a kontakte.

Pre klasifikáciu, kroky odoslania a súkromné záznamy incidentov pozri Hlásenie incidentov.

Oznámenia používateľom¶

Weblate informuje dotknutých používateľov o aktívnom zneužívaní alebo vážnych bezpečnostných incidentoch bez zbytočného odkladu, vrátane dostupných zmiernení a nápravných akcií. Kde je appropriate, varovania sa obracajú na všetkých používateľov. Známí dotknutí kontakti, vrátane zákazníkov Hosted a Dedicated Weblate, dostávajú e-mailové oznámenia. Verejné bezpečnostné poradenstvá GitHub poskytujú varovania a aktualizácie pre vlastne hosťovaných používateľov, ktorých kontaktné detaily nie sú známe.

Počiatočné varovania môžu poskytnúť ochranné poradenstvo pred tým, než je oprava alebo podrobné zverejnenie zraniteľnosti pripravené. Hlásenie orgánom, varovania používateľov a publikovanie technických detailov pokračujú samostatne podľa potreby.

Porušenia osobných údajov tiež vyžadujú samostatné posúdenie oznámení dotknutým jednotlivcom, aj keď neexistuje aktívne zneužívanie ani vážny incident produktovej bezpečnosti.