Политика безопасности

Команда Quarkus и сообщество очень серьёзно относятся ко всем проблемам безопасности. Здесь вы можете найти наши рекомендации относительно нашей политики и раскрытия информации о безопасности.

Сообщение о проблемах безопасности

НЕ сообщайте о проблемах безопасности в нашем общедоступном трекере ошибок.

Сообщайте обо всех обнаруженных вами проблемах безопасности в Quarkus по адресу:

security at quarkus.io

Любой может отправить сообщение на этот адрес. Подписчиками являются только доверенные лица из сообщества Quarkus, которые будут конфиденциально решать любые сообщённые проблемы безопасности. В своём сообщении, пожалуйста, укажите, как вы хотели бы быть отмечены за обнаружение проблемы, и детали любого эмбарго, которое вы хотели бы наложить. В настоящее время группы реагирования на угрозы безопасности для следующих дистрибутивов подписаны на этот список и ответят на ваше сообщение:

• Red Hat

Экосистема

Quarkus — это экосистема, состоящая из множества расширений и библиотек (таких как Eclipse Vert.x, Hibernate, Apache Camel и других), большинство из которых не находятся под прямой ответственностью команды Quarkus. Если вы обнаружите проблему безопасности, которая, возможно, связана с одной из этих библиотек, вы можете либо сообщить им напрямую, либо сообщить нам (следуя этому процессу), и мы ответственно сообщим об этой проблеме соответствующему разработчику расширения или библиотеки.

Почему следует следовать этому процессу

Из-за чувствительного характера проблем безопасности процесс раскрытия информации более ограничен, чем обычный баг. Мы ценим то, что вы следуете этим общепринятым в отрасли рекомендациям, что даёт время для надлежащего исправления и ограничивает окно времени атаки.

Поддерживаемые версии

Сообщество будет исправлять проблемы безопасности для последней основной минорной версии, опубликованной по адресу https://quarkus.io/get-started/.

Версия	Поддерживается
Последняя 3.x
3.8 LTS
3.2 LTS
Более старая 3.x
< 3

Мы можем исправить уязвимость в старых версиях в зависимости от серьёзности проблемы и возраста выпуска, но мы берём на себя обязательства только в отношении версий, указанных выше.

Решение проблем безопасности

Если вы представляете расширение Quarkus или платформу Quarkus, вы можете подписаться на список рассылки security at quarkus.io. Ваша подписка будет одобрена только в том случае, если вы сможете продемонстрировать, что будете решать проблемы конфиденциально и должным образом благодарить тех, кто сообщает о проблемах (например, опыт работы с процессом эмбарго).