Sikkerhed hos Omarchy
Sådan rapporterer du ansvarligt en sikkerhedssårbarhed i Omarchy.
Rapportér en sårbarhed
Hvis du mener, at du har fundet en sikkerhedssårbarhed i Omarchy, skal du fortælle det privat til Omarchy Security Team, så holdet får mulighed for at undersøge og rette den, før den offentliggøres.
Rapportér ikke potentielle sårbarheder offentligt i GitHub Issues, på Discord eller på sociale medier, før de er løst.
Hvad er en sårbarhed?
En fejl er en sikkerhedssårbarhed, når den kan udnyttes til at krydse en væsentlig sikkerhedsgrænse: En part, der ikke er betroet eller har færre privilegier, får adgang, tilladelser eller kontrol, som parten ikke allerede havde.
Kode, der kunne være mere robust, men ikke krydser en sikkerhedsgrænse, er en forbedring, ikke en sikkerhedssårbarhed. En foreslået rettelse kan stadig blive flettet ind og krediteret i udgivelsesnoterne.
Retten til sikkerhedskreditering afhænger af, om en rapport identificerer en bekræftet sikkerhedssårbarhed, ikke af sårbarhedens alvorlighedsgrad.
Det skal du medtage
Giv holdet nok oplysninger til at forstå og genskabe problemet:
- Den berørte komponent og Omarchy-version.
- En forklaring på, hvad en angriber kan gøre før og efter udnyttelsen.
- Trin til at genskabe problemet og eventuel proof of concept.
- Dine foretrukne kontaktoplysninger til opfølgning.
Ansvarlig offentliggørelse
Handl i god tro, mens du undersøger og rapporterer sårbarheder:
- Test kun systemer og konti, som du ejer eller har udtrykkelig tilladelse til at teste.
- Undgå krænkelser af privatlivet, driftsforstyrrelser, ødelæggelse af data og forringelse af tjenester.
- Udnyt ikke en sårbarhed ud over det, der er nødvendigt for at påvise den.
- Giv holdet en rimelig mulighed for at undersøge og løse problemet, før du offentliggør detaljer.
Holdet gennemgår din rapport og holder dig orienteret i det omfang, det er muligt, mens det arbejder på en løsning.
Kreditering
Sikkerhedsforskere, der privat rapporterer en bekræftet sikkerhedssårbarhed og giver holdet mulighed for at udgive en rettelse, takkes på siden med sikkerhedskrediteringer. Accepterede forbedringer, der ikke krydser en sikkerhedsgrænse, kan stadig blive krediteret i udgivelsesnoterne.
Ved flere rapporter om samme sårbarhed er kun den første rapportør berettiget til kreditering.
Almindelige fejl og support
Alt, der ikke er en sikkerhedssårbarhed, skal indberettes via Omarchys GitHub Issues.