Правила исправления ошибок, связанных с безопасностью
Atlassian makes it a priority to ensure that customers' systems cannot be compromised by exploiting vulnerabilities in Atlassian products.
Scope
The following describes how and when we resolve security bugs in our products. It does not describe the complete disclosure or advisory process that we follow.
Соглашение об уровне обслуживания (SLA) в отношении исправления ошибок, связанных с безопасностью
Мы определили следующие временные отрезки для исправления проблем с безопасностью в наших продуктах.
- Баги критической степени серьезности (балл по CVSS v2 >= 8, балл по CVSS v3 >= 9) должны исправляться в продукте за 4 недели с момента получения информации о них.
- Баги высокой степени серьезности (балл по CVSS v2 >= 6, балл по CVSS v3 >= 7) должны исправляться в продукте за 6 недель с момента получения информации.
- Баги средней степени серьезности (балл по CVSS v2 >= 3, балл по CVSS v3 >= 4) должны исправляться в продукте за 8 недель с момента получения информации.
Критические уязвимости
При обнаружении компанией Atlassian критической уязвимости безопасности или при получении сообщения о таковой от третьего лица компания Atlassian выполнит все следующие действия.
- Выпуск нового исправленного релиза для текущей версии затронутого продукта в максимально короткий срок.
- Выпуск нового релиза обслуживания для предыдущей версии описанным ниже образом.
Продукт | Правила обновления прошлых релизов | Пример |
|---|---|---|
| Jira Software версий Server и Data Center Jira Core версий Server и Data Center Jira Service Desk версий Server и Data Center | Выпуск новых исправлений багов для:
| Например, если исправление критических проблем безопасности выходит 1 января 2020 года, необходимо выпустить следующие новые версии с исправлениями багов:
|
| Confluence версий Server и Data Center | Выпуск новых исправлений багов для:
| Например, если исправление критических проблем безопасности выходит 1 января 2020 года, необходимо выпустить следующие новые версии с исправлениями багов:
|
| Bitbucket версий Server и Data Center | Выпуск новых исправлений багов для:
| Например, если исправление критических проблем безопасности выходит 1 января 2020 года, необходимо выпустить следующие новые версии с исправлениями багов:
Bitbucket 6.3.0 был выпущен 14 мая 2019 г., более чем за 6 месяцев до данного исправления. Если эта версия обозначена как Enterprise, для нее также необходимо выпустить исправление багов. |
| Исправления багов выпускаются только для текущей и предыдущей версий функциональных релизов. | Например, если исправление критических проблем безопасности для Bamboo выходит 1 января 2020 г., необходимо выпустить следующие новые версии с исправлениями багов:
|
ProductJira Software Server and Data Center Jira Core Server and Data Center Jira Service Desk Server and Data Center |
Back port policyIssue new bug fix releases for:
|
ExampleFor example, if a critical security bug fix is developed on 1 January 2020, the following new bug fix releases would need to be produced:
|
ПродуктConfluence версий Server и Data Center |
Правила обновления прошлых релизовВыпуск новых исправлений багов для:
|
ПримерНапример, если исправление критических проблем безопасности выходит 1 января 2020 года, необходимо выпустить следующие новые версии с исправлениями багов:
|
ПродуктBitbucket версий Server и Data Center |
Правила обновления прошлых релизовВыпуск новых исправлений багов для:
|
ПримерНапример, если исправление критических проблем безопасности выходит 1 января 2020 года, необходимо выпустить следующие новые версии с исправлениями багов:
Bitbucket 6.3.0 был выпущен 14 мая 2019 г., более чем за 6 месяцев до данного исправления. Если эта версия обозначена как Enterprise, для нее также необходимо выпустить исправление багов. |
Product |
Back port policyWe will only issue new bug fix releases for the current and previous feature release version. |
ExampleFor example, if a critical security bug fix is developed on 1 January 2020 for Bamboo, the following new bug fix releases would need to be produced:
|
It is important to stay on the latest bug fix release for the version of the product you are using (this is best practice). For example if you are on Jira Software 7.5.0, you should upgrade to Jira Software 7.5.3 proactively. If a new security bug fix is released, e.g. Jira Software 7.5.4, the delta between the two versions is minimal (i.e. only the security fix), making it easier to apply.
The critical vulnerabilities resolution process does not apply to our Atlassian Cloud products as these services are always fixed by Atlassian without any additional action from customers.
Некритические уязвимости
В случае обнаружения проблемы с высоким, средним или низким уровнем опасности Atlassian включит исправление в состав следующего планового релиза. При возможности исправление также будет адаптировано для версии Enterprise.
Как только исправление ошибок становится доступным, рекомендуем обновлять установленные у вас продукты, чтобы устранять все проблемы безопасности, решаемые этим релизом.
Прочая информация
Как рассчитывается уровень опасности уязвимости, можно узнать на странице Уровни опасности проблем, связанных с безопасностью.
Мы регулярно пересматриваем наши правила на основании отзывов клиентов и публикуем поправки и дополнения на этой странице.