Omarchyn tietoturva
Ilmoita haavoittuvuudesta
Jos uskot löytäneesi Omarchysta tietoturvahaavoittuvuuden, kerro siitä Omarchyn tietoturvatiimille yksityisesti, jotta voimme tutkia ja korjata sen ennen julkistamista.
security@omarchy.orgÄlä ilmoita mahdollisista haavoittuvuuksista julkisesti GitHub Issuesissa, Discordissa tai somessa ennen niiden korjaamista.
Mikä on haavoittuvuus?
Pidämme virhettä tietoturvahaavoittuvuutena, jos sitä hyödyntämällä voidaan ylittää merkityksellinen tietoturvaraja: epäluotettu tai vähemmän oikeuksia omaava taho saa pääsyn, oikeuksia tai hallintaa, jota sillä ei ennestään ollut.
Koodin vahvistaminen ilman tietoturvarajan ylitystä on parannus, ei tietoturvahaavoittuvuus. Saatamme silti hyväksyä ehdotetun korjauksen ja kiittää ilmoittajaa julkaisutiedoissa.
Paikka tietoturvakiitosten sivulla riippuu siitä, tunnistaako ilmoitus vahvistetun haavoittuvuuden, ei sen vakavuudesta.
Mitä ilmoitukseen kuuluu
Anna riittävät tiedot ongelman ymmärtämiseen ja toistamiseen:
- Komponentti, jota ongelma koskee, sekä Omarchyn versio.
- Selitys siitä, mitä hyökkääjä voi tehdä ennen hyödyntämistä ja sen jälkeen.
- Ongelman toistamisvaiheet ja mahdollinen toimiva esimerkki.
- Toivomasi yhteystiedot jatkokeskustelua varten.
Vastuullinen julkistaminen
Toimi hyvässä uskossa haavoittuvuuksia tutkiessasi ja ilmoittaessasi:
- Testaa vain omia järjestelmiäsi ja tilejäsi tai sellaisia, joiden testaamiseen sinulla on nimenomainen lupa.
- Vältä yksityisyyden loukkauksia, häiriöitä, tietojen tuhoamista ja palvelun heikentämistä.
- Älä hyödynnä haavoittuvuutta pidemmälle kuin sen osoittaminen vaatii.
- Anna meille kohtuullinen mahdollisuus tutkia ja korjata ongelma ennen yksityiskohtien julkaisemista.
Käymme ilmoituksesi läpi ja pidämme sinut mahdollisuuksien mukaan ajan tasalla korjaustyön aikana.
Kiitokset
Tutkijoita, jotka ilmoittavat vahvistetusta tietoturvahaavoittuvuudesta yksityisesti ja antavat meille mahdollisuuden julkaista korjauksen, kiitetään tietoturvakiitosten sivulla. Hyväksytyistä parannuksista, jotka eivät ylitä tietoturvarajaa, voidaan silti kiittää julkaisutiedoissa.
Kiitokset linkittävät ilmoittajan X-profiiliin ja näyttävät hänen avatarinsa. Päällekkäisistä ilmoituksista vain ensimmäinen oikeuttaa kiitokseen.
Tavalliset virheet ja tuki
Käytä kaikissa muissa kuin tietoturvahaavoittuvuuksissa Omarchyn ongelmanseurantaa.