Policy di correzione dei bug di sicurezza
Per Atlassian è una priorità assicurarsi che i sistemi dei clienti non possano essere compromessi sfruttando le vulnerabilità presenti nei suoi prodotti.
Ambito
Di seguito vengono descritte la tempistica e la modalità di risoluzione dei bug di sicurezza nei nostri prodotti. Non è descritto il processo completo di divulgazione o consulenza cui ci atteniamo.
Obiettivi di livelli di servizio (SLO) per le correzioni dei bug relativi alla sicurezza
Atlassian stabilisce obiettivi di livello di servizio per risolvere le vulnerabilità di sicurezza in base al livello di gravità per la sicurezza e al prodotto interessato. Abbiamo definito le seguenti tempistiche per la correzione dei problemi di sicurezza nei nostri prodotti:
Accelerazione della tempistica di risoluzione
Queste tempistiche si applicano a tutti i prodotti Atlassian basati su cloud e a qualsiasi altro software o sistema gestito da Atlassian o che viene eseguito su un'infrastruttura Atlassian. Si applicano anche a Jira Align (sia la versione cloud sia la versione autogestita).
- I bug di gravità critica devono essere corretti nel prodotto entro 2 settimane dalla verifica
- I bug di gravità alta devono essere corretti nel prodotto entro 4 settimane dalla verifica
- I bug di gravità media devono essere corretti nel prodotto entro 6 settimane dalla verifica
- I bug di gravità bassa devono essere corretti nel prodotto entro 25 settimane dalla verifica
Tempistiche di risoluzione estese
Queste tempistiche si applicano a tutti i prodotti Atlassian autogestiti. Un prodotto autogestito viene installato dai clienti su sistemi gestiti in autonomia e include applicazioni server, data center, desktop e mobili di Atlassian.
- I bug di gravità critica, alta e media devono essere corretti nel prodotto entro 90 giorni dalla verifica
- I bug di gravità bassa devono essere corretti nel prodotto entro 180 giorni dalla verifica
Vulnerabilità critiche
Quando una vulnerabilità della sicurezza critica viene rilevata da Atlassian o segnalata da una terza parte, Atlassian effettuerà tutte le seguenti operazioni:
- Pubblicazione di un nuovo rilascio corretto per la versione corrente del prodotto interessato il più presto possibile.
- Pubblicazione di un nuovo rilascio di manutenzione per una versione precedente, come segue:
Prodotto | Policy sul backport | Esempio |
|---|---|---|
| Jira Software Server e Data Center Jira Core Server e Data Center Jira Service Management Server e Data Center (in precedenza Jira Service Desk) | Pubblicazione di nuovi rilasci di correzioni di bug per:
| Ad esempio, se il 1° gennaio 2020 viene sviluppata una correzione critica di un bug della sicurezza, devono essere prodotti i nuovi rilasci di correzioni di bug riportati di seguito:
|
| Confluence Server e Data Center | Pubblicazione di nuovi rilasci di correzioni di bug per:
| Ad esempio, se il 1° gennaio 2020 viene sviluppata una correzione critica di un bug della sicurezza, devono essere prodotti i nuovi rilasci di correzioni di bug riportati di seguito:
|
| Bitbucket Server e Data Center | Pubblicazione di nuovi rilasci di correzioni di bug per:
| Ad esempio, se il 1° gennaio 2020 viene sviluppata una correzione critica di un bug della sicurezza, devono essere prodotti i nuovi rilasci di correzioni di bug riportati di seguito:
Bitbucket 6.3.0 è stato rilasciato il 14 maggio 2019, oltre 6 mesi prima della data della correzione. Se fosse stata designata come rilascio di supporto a lungo termine, sarebbe stato prodotto anche un rilascio di correzione dei bug. |
| Pubblicheremo nuovi rilasci di correzioni di bug solo per la versione di rilascio della funzione attuale e precedente. | Ad esempio, se il 1° gennaio 2020 viene sviluppata una correzione critica di un bug della sicurezza per Bamboo, devono essere prodotti i nuovi rilasci di correzioni di bug riportati di seguito:
|
Prodotto | Policy sul backport | Esempio |
|---|---|---|
| Jira Software Server e Data Center Jira Core Server e Data Center Jira Service Management Server e Data Center (in precedenza Jira Service Desk) Confluence Server e Data Center Bitbucket Server e Data Center Bamboo Server e Data Center | Pubblicazione di nuovi rilasci di correzioni di bug per:
| Se la correzione di un bug di sicurezza critico è stata sviluppata in data 01/01/2020, di seguito sono riportati esempi di rilasci che riceverebbero la correzione dei bug:
Di seguito sono riportati alcuni esempi di rilasci che non riceverebbero la correzione dei bug:
|
| Pubblicheremo nuovi rilasci di correzioni di bug solo per la versione di rilascio della funzione attuale e precedente. | Ad esempio, se il 1° gennaio 2020 viene sviluppata una correzione critica di un bug della sicurezza per Crowd, devono essere prodotti i nuovi rilasci di correzioni di bug riportati di seguito:
|
ProdottoJira Software Server e Data Center Jira Core Server e Data Center Jira Service Desk Server e Data Center |
Policy sul backportPubblicazione di nuovi rilasci di correzioni di bug per:
|
EsempioAd esempio, se il 1° gennaio 2020 viene sviluppata una correzione critica di un bug della sicurezza, devono essere prodotti i nuovi rilasci di correzioni di bug riportati di seguito:
|
ProdottoConfluence Server e Data Center |
Policy sul backportPubblicazione di nuovi rilasci di correzioni di bug per:
|
EsempioAd esempio, se il 1° gennaio 2020 viene sviluppata una correzione critica di un bug della sicurezza, devono essere prodotti i nuovi rilasci di correzioni di bug riportati di seguito:
|
ProdottoBitbucket Server e Data Center |
Policy sul backportPubblicazione di nuovi rilasci di correzioni di bug per:
|
EsempioAd esempio, se il 1° gennaio 2020 viene sviluppata una correzione critica di un bug della sicurezza, devono essere prodotti i nuovi rilasci di correzioni di bug riportati di seguito:
Bitbucket 6.3.0 è stato rilasciato il 14 maggio 2019, oltre 6 mesi prima della data della correzione. Se fosse stata designata come rilascio di supporto a lungo termine, sarebbe stato prodotto anche un rilascio di correzione dei bug. |
Prodotto |
Policy sul backportPubblicheremo nuovi rilasci di correzioni di bug solo per la versione di rilascio della funzione attuale e precedente. |
EsempioAd esempio, se il 1° gennaio 2020 viene sviluppata una correzione critica di un bug della sicurezza per Bamboo, devono essere prodotti i nuovi rilasci di correzioni di bug riportati di seguito:
|
È importante rimanere aggiornati sul rilascio più recente di correzione dei bug per la versione del prodotto utilizzata (questa è la best practice). Ad esempio, se utilizzi Jira Software 7.5.0, devi effettuare l'aggiornamento a Jira Software 7.5.3 in modo proattivo. Se viene rilasciata una nuova correzione dei bug relativi alla sicurezza, ad esempio Jira Software 7.5.4, la differenza tra le due versioni è minima (cioè solo la correzione di sicurezza) e questo ne semplifica l'applicazione.
Il processo di risoluzione delle vulnerabilità critiche non si applica ai nostri prodotti Atlassian Cloud in quanto questi servizi vengono sempre corretti da Atlassian senza ulteriori azioni da parte dei clienti.
Vulnerabilità non critiche
Quando si rileva un problema di sicurezza di gravità elevata, media o bassa, Atlassian cercherà di rilasciare una correzione all'interno degli obiettivi a livello di servizio elencati all'inizio di questo documento. È inoltre possibile eseguire il backport della correzione ai rilasci di supporto a lungo termine, se fattibile.
È consigliabile aggiornare le installazioni quando diventa disponibile un rilascio di una correzione di bug per assicurarsi che siano state applicate le correzioni di sicurezza più recenti.
Altre informazioni
Il livello di gravità delle vulnerabilità viene calcolato in base ai livelli di gravità per i problemi di sicurezza.
Valuteremo continuamente le nostre policy in base al feedback dei clienti e pubblicheremo gli eventuali aggiornamenti o modifiche in questa pagina.