Politique de correction des bugs de sécurité
Atlassian s'efforce (en priorité) de garantir que les systèmes des clients ne puissent pas être compromis en exploitant des failles dans les produits Atlassian.
Périmètre
Cette politique décrit de quelle manière et dans quels délais nous pouvons résoudre les failles de sécurité de nos produits.
Objectifs de niveau de service (SLO) de correction des bugs de sécurité
Atlassian fixe des objectifs de niveau de service pour la correction des failles de sécurité sur la base du niveau de gravité pour la sécurité et du produit affecté. Nous avons défini les objectifs temporels suivants pour la correction des problèmes de sécurité dans nos produits :
Objectifs de résolution accélérés
Ces délais s'appliquent à :
- Tous les produits Atlassian basés dans le cloud
- Tout logiciel ou système géré par Atlassian
- Tout logiciel ou système fonctionnant sur l'infrastructure Atlassian
- Jira Align, versions cloud et auto-gérées
En fonction du niveau de vulnérabilité, nous avons défini les délais suivants pour appliquer la correction dans un produit après vérification :
- Critique, doit être corrigé dans les 10 jours
- Élevé, doit être corrigé dans les 28 jours
- Moyen, devrait être corrigé dans les 84 jours
- Faible, devrait être corrigé dans les 175 jours
Délais de résolution étendus
Ces objectifs planifiés s'appliquent à tous les produits et à toutes les applications mobiles Atlassian Data Center. Les produits Data Center sont installés par les clients sur des systèmes qu'ils gèrent eux-mêmes.
- Les vulnérabilités de gravité critique, élevée et moyenne à corriger dans le produit dans un délai de 90 jours après la vérification
- Les vulnérabilités de gravité faible à corriger dans le produit dans un délai de 180 jours après la vérification
Modèle de responsabilité partagée
Bien qu'Atlassian s'engage à fournir des produits sécurisés et prêts à l'emploi, nous nous appuyons également sur un modèle de responsabilité partagée. Ce modèle oblige les clients à mettre en œuvre des pratiques qui se prolongent au-delà du déploiement et se prolongent jusqu'aux phases opérationnelles. Certaines de ces responsabilités comprennent :
- l'exploitation des logiciels Atlassian sur des réseaux privés
- l'assurance de la mise en œuvre rapide des corrections de sécurité dès les premières versions
- la configuration des pare-feu d'app web (WAF), des VPN, de l'authentification multifactorielle et de l'authentification unique
- la mise en œuvre du cryptage et des contrôles d'accès
- la réalisation de sauvegardes régulières
- la conduite d'audits de sécurité réguliers
Vulnérabilités critiques
Lorsqu'une vulnérabilité critique est identifiée par Atlassian ou signalée par un tiers, Atlassian prendra les mesures suivantes :
- Pour les produits cloud, nous livrerons une nouvelle version corrigée pour le produit concerné dès que possible.
- Pour les produits auto-gérés, nous :
- livrerons une version de correction de bugs pour les dernières fonctionnalités du produit concerné
- livrerons une nouvelle version de fonctionnalités pour le produit concerné selon le calendrier de sortie
- livrerons une version de correction de bug pour toutes les versions de support à long terme (LTS) prises en charge du produit concerné, conformément à la Politique Atlassian de fin de vie du support.
Produit | Politique de rétroportage | Exemple |
|---|---|---|
| Jira Software Server et Data Center Jira Server et Data Center Jira Service Management Server et Data Center (anciennement, Jira Service Desk) | Publier de nouvelles versions de correction de bug pour :
| Par exemple, si une correction de bug de sécurité critique était développée le 1er janvier 2020, les nouvelles versions de correction de bug suivantes devraient être produites :
|
| Confluence Server et Data Center | Publier de nouvelles versions de correction de bug pour :
| Par exemple, si une correction de bug de sécurité critique était développée le 1er janvier 2020, les nouvelles versions de correction de bug suivantes devraient être produites :
|
| Bitbucket Server et Data Center | Publier de nouvelles versions de correction de bug pour :
| Par exemple, si une correction de bug de sécurité critique était développée le 1er janvier 2020, les nouvelles versions de correction de bug suivantes devraient être produites :
La version 6.3.0 de Bitbucket a été livrée le 14 mai 2019, plus de 6 mois avant la date de la correction. Si la version a été désignée comme une version de support à long terme, une version de correction de bug serait également produite. |
| Nous ne publierons de nouvelles versions de correction de bug que pour la version de fonctionnalités actuelle et précédente. | Par exemple, si une correction de bug de sécurité critique était développée le 1er janvier 2020 pour Bamboo, les nouvelles versions de correction de bug suivantes devraient être produites :
|
Pour Crowd, Fisheye et Crucible, nous fournirons une version de correction de bug pour les dernières fonctionnalités du produit concerné.
Exemples de corrections de vulnérabilités critiques pour les produits auto-gérés :
Si une correction de vulnérabilité critique était développée le 1er février 2024, ces versions bénéficieraient de la correction de bug :
Produit | Exemple |
|---|---|
| Jira Software | Exemple Jira Software 9.13.x, car la version 9.13.0 est la dernière version de fonctionnalités |
| Exemple Jira Software 9.12.x, car la version 9.12.0 est la dernière version de support à long terme | |
| Exemple Jira Software 9.4.x, car la version 9.4.0 est la précédente version de support à long terme | |
| Jira Service Management | Exemple Jira Service Management 5.13.x, car la version 5.13.0 est la dernière version de fonctionnalités |
| Exemple Jira Service Management 5.12.x, car la version 5.12.0 est la dernière version de support à long terme | |
| Exemple Jira Service Management 5.4.x, car la version 5.4.0 est la deuxième version de support à long terme la plus récente prise en charge | |
| Confluence | Exemple Confluence 8.7.x, car la version 8.7.0 est la dernière version de fonctionnalités |
| Exemple Confluence 8.5.x, car la version 8.5.0 est la dernière version de support à long terme | |
| Exemple Confluence 7.19.x, car la version 7.19.0 est la deuxième version de support à long terme la plus récente prise en charge | |
| Bitbucket | Exemple Bitbucket 8.17.x, car la version 8.17.0 est la dernière version de fonctionnalités |
| Exemple Bitbucket 8.9.x, car la version 8.9.0 est la dernière version de support à long terme | |
| Exemple Bitbucket 7.21.x, car la version 7.21.0 est la deuxième version de support à long terme la plus récente prise en charge | |
| Bamboo | Exemple Bamboo 9.5.x, car la version 9.5.0 est la dernière version de fonctionnalités |
| Exemple Bamboo 9.2.x, car la version 9.2.0 est la dernière version de support à long terme | |
| Crowd | Exemple Crowd 5.3.x, car la version 5.3.0 est la dernière version de fonctionnalités |
| Fisheye/Crucible | Exemple Fisheye/Crucible 4.8.x, car la version 4.8.0 est la dernière version de fonctionnalités |
Aucune autre version du produit ne bénéficierait des nouvelles corrections de bug.
Les mises à niveau fréquentes garantissent la sécurité des instances de vos produits. Nous vous recommandons de vous tenir au courant des dernières versions de correction de bug, de fonctionnalités ou de support à long terme de votre produit.
Vulnérabilités non critiques
Lorsqu'un problème de sécurité de gravité élevée, moyenne ou faible est identifié, Atlassian s'efforce de publier une correction en respectant les objectifs de niveau de service indiqués au début de ce document. Si possible, la correction peut également être rétroportée aux versions de support à long terme. La faisabilité du rétroportage est influencée par divers facteurs, notamment les dépendances logicielles, les modifications architecturales et les problèmes de compatibilité.
Pour vous assurer que vos installations contiennent les dernières corrections de sécurité, mettez-les à niveau dès qu'une version de correction de bugs est disponible.
Autres informations
Le degré de gravité des vulnérabilités est calculé en fonction des niveaux de gravité des problèmes de sécurité.
Nous évaluons en permanence nos politiques en fonction du feedback des clients, et nous indiquons toute mise à jour ou tout changement sur cette page.