Политика безопасности

Поддерживаемые лица и участники проекта KubeArmor уделяют серьезное внимание безопасности нашего программного обеспечения.
Комьюнити KubeArmor приняло следующую политику раскрытия информации о безопасности и ответа на нее, чтобы оперативно реагировать на критические проблемы.

Пожалуйста, не сообщайте о проблемах безопасности через публичные issues в GitHub.

Уведомления о безопасности

Для получения информации о безопасности этого проекта присоединитесь к нашему каналу Slack.

Отчет о уязвимости

Когда следует это сделать?

• Вы считаете, что нашли потенциальную уязвимость безопасности в KubeArmor.
• Вы сомневаетесь, как уязвимость влияет на KubeArmor.
• Вы считаете, что нашли уязвимость в зависимостях KubeArmor. Для этих проектов используйте их политику отчетности.

Когда следует этого не делать?

• Вам требуется помощь в конфигурировании KubeArmor для повышения безопасности — обсудите это в канале Slack.
• Вам требуется помощь при применении обновлений, связанных с безопасностью.
• Ваша проблема не связана с безопасностью.

Пожалуйста, используйте нижеописанный процесс для представления отчета о уязвимости проекту:

1. Напишите на адрес группы безопасности KubeArmor support@accuknox.com * Пожалуйста, предоставьте запрошенную информацию (по возможности) для того, чтобы нам было легче понять природу и масштаб возможной проблемы: * Тип проблемы (например, переполнение буфера, внедрение SQL, кросс-сайт скриптинг и т.д.) * Полные пути файлов источника, связанных с проявлением проблемы * Расположение затронутого кода (тег/ветка/коммит или прямой URL) * Любое специальное конфигурирование, необходимое для воспроизведения проблемы * Шаг за шагом инструкции по воспроизведению проблемы * Пример доказательства или код эксплоита (если возможно) * Влияние проблемы, включая то, как злоумышленник может использовать эту уязвимость

   • Эта информация поможет нам быстрее рассмотреть ваш отчет.

2. Команда безопасности проекта отправит начальный ответ на раскрытие информации в течение 3-5 дней. Как только будет подтверждена уязвимость и исправление, команда планирует выпустить исправление в течение 7 до 28 дней в зависимости от серьезности и сложности.3. Вас могут связаться с одним из поддерживаемых лиц проекта для дальнейшей беседы о представленной проблеме. Будьте терпеливыми, поскольку мы стремимся понять широту и глубину представленной проблемы, воспроизводим её и подтверждаем наличие уязвимости.

Поддерживаемые версии

Версии KubeArmor следуют терминологии Семантического Версионирования и выглядят как x.y.z:

• где x — это основная версия,
• y — это минорная версия,
• а z — это патч-версия.Исправления безопасности могут быть возвращены в некоторые недавние минорные выпуски в зависимости от серьёзности и возможности. Патч-выпуски выпускаются периодически из этих ветвей, а также при необходимости создаются дополнительные срочные выпуски.