Close

Правила исправления ошибок, связанных с безопасностью

Atlassian makes it a priority to ensure that customers' systems cannot be compromised by exploiting vulnerabilities in Atlassian products.


Scope

The following describes how and when we resolve security bugs in our products. It does not describe the complete disclosure or advisory process that we follow.

Соглашение об уровне обслуживания (SLA) в отношении исправления ошибок, связанных с безопасностью

Мы определили следующие временные отрезки для исправления проблем с безопасностью в наших продуктах.

  • Баги критической степени серьезности (балл по CVSS v2 >= 8, балл по CVSS v3 >= 9) должны исправляться в продукте за 4 недели с момента получения информации о них.
  • Баги высокой степени серьезности (балл по CVSS v2 >= 6, балл по CVSS v3 >= 7) должны исправляться в продукте за 6 недель с момента получения информации.
  • Баги средней степени серьезности (балл по CVSS v2 >= 3, балл по CVSS v3 >= 4) должны исправляться в продукте за 8 недель с момента получения информации.

Критические уязвимости

При обнаружении компанией Atlassian критической уязвимости безопасности или при получении сообщения о таковой от третьего лица компания Atlassian выполнит все следующие действия.

  • Выпуск нового исправленного релиза для текущей версии затронутого продукта в максимально короткий срок.
  • Выпуск нового релиза обслуживания для предыдущей версии описанным ниже образом.
     

 

Продукт
Правила обновления прошлых релизов
Пример

Jira Software версий Server и Data Center

Jira Core версий Server и Data Center

Jira Service Desk версий Server и Data Center

Выпуск новых исправлений багов для:

  • любых версий, обозначенных как Enterprise, для которых еще не прекращена поддержка;
  • всех функциональных обновлений, выпущенных в течение 6 месяцев до выхода исправления.

Например, если исправление критических проблем безопасности выходит 1 января 2020 года, необходимо выпустить следующие новые версии с исправлениями багов:

  • Jira 8.6.x, поскольку версия 8.6.0 была выпущена 17 декабря 2019 г.;
  • Jira 8.5.x, поскольку версия 8.5.0 была выпущена 21 октября 2019 г.;
  • Jira 8.4.x, поскольку версия 8.4.0 была выпущена 9 сентября 2019 г.;
  • Jira 8.3.x, поскольку версия 8.3.0 была выпущена 22 июля 2019 г.;
  • Jira 7.13.x, поскольку версия 7.13 является выпуском Enterprise и версия 7.13.0 была выпущена 28 ноября 2018 г.
Confluence версий Server и Data Center

Выпуск новых исправлений багов для:

  • любых версий, обозначенных как Enterprise, для которых еще не прекращена поддержка;

  • всех функциональных обновлений, выпущенных в течение 6 месяцев до выхода исправления.

Например, если исправление критических проблем безопасности выходит 1 января 2020 года, необходимо выпустить следующие новые версии с исправлениями багов:

  • Confluence 7.2.x, поскольку версия 7.2.0 была выпущена 12 декабря 2019 г.;
  • Confluence 7.1.x, поскольку версия 7.1.0 была выпущена 4 ноября 2019 г.;
  • Confluence 7.0.x, поскольку версия 7.0.0 была выпущена 10 сентября 2019 г.;
  • Confluence 6.13.x, поскольку версия 6.13 обозначена как Enterprise, версия 6.13.0 была выпущена 4 декабря 2018 г.
Bitbucket версий Server и Data Center

Выпуск новых исправлений багов для:

  • любых версий, обозначенных как Enterprise, для которых еще не прекращена поддержка;
  • всех функциональных обновлений, выпущенных в течение 6 месяцев до выхода исправления.

Например, если исправление критических проблем безопасности выходит 1 января 2020 года, необходимо выпустить следующие новые версии с исправлениями багов:

  • Bitbucket 6.9.x, поскольку версия 6.9.0 была выпущена 10 декабря 2019 г.;
  • Bitbucket 6.8.x, поскольку версия 6.8.0 была выпущена 6 ноября 2019 г.;
  • Bitbucket 6.7.x, поскольку версия 6.7.0 была выпущена 1 октября 2019 г.;
  • Bitbucket 6.6.x, поскольку версия 6.6.0 была выпущена 27 августа 2019 г.;
  • Bitbucket 6.5.x, поскольку версия 6.5.0 была выпущена 24 июля 2019 г.

Bitbucket 6.3.0 был выпущен 14 мая 2019 г., более чем за 6 месяцев до данного исправления. Если эта версия обозначена как Enterprise, для нее также необходимо выпустить исправление багов.

Все остальные продукты (BambooCrucibleFisheye, etc)

Исправления багов выпускаются только для текущей и предыдущей версий функциональных релизов.

Например, если исправление критических проблем безопасности для Bamboo выходит 1 января 2020 г., необходимо выпустить следующие новые версии с исправлениями багов:

  • Bamboo 6.10.x, поскольку это текущая версия и она была выпущена 17 сентября 2019 г.;
  • Bamboo 6.9.x, поскольку версия 6.9.0 является предыдущей версией.
Product

Jira Software Server and Data Center

Jira Core Server and Data Center

Jira Service Desk Server and Data Center

Back port policy

Issue new bug fix releases for:

  • Any versions designated an 'Enterprise release' that have not reached end of life.
  • All feature versions released within 6 months of the date the fix is released.
Example

For example, if a critical security bug fix is developed on 1 January 2020, the following new bug fix releases would need to be produced:

  • Jira 8.6.x because 8.6.0 was released on 17 December 2019
  • Jira 8.5.x because 8.5.0 was released on 21 October 2019
  • Jira 8.4.x because 8.4.0 was released on 9 September 2019
  • Jira 8.3.x because 8.3.0 was released on 22 July 2019
  • Jira 7.13.x because 7.13 is an Enterprise release, and 7.13.0 was released on 28 November 2018
Продукт

Confluence версий Server и Data Center

Правила обновления прошлых релизов

Выпуск новых исправлений багов для:

  • любых версий, обозначенных как Enterprise, для которых еще не прекращена поддержка;
  • всех функциональных обновлений, выпущенных в течение 6 месяцев до выхода исправления.
Пример

Например, если исправление критических проблем безопасности выходит 1 января 2020 года, необходимо выпустить следующие новые версии с исправлениями багов:

  • Confluence 7.2.x, поскольку версия 7.2.0 была выпущена 12 декабря 2019 г.;
  • Confluence 7.1.x, поскольку версия 7.1.0 была выпущена 4 ноября 2019 г.;
  • Confluence 7.0.x, поскольку версия 7.0.0 была выпущена 10 сентября 2019 г.;
  • Confluence 6.13.x, поскольку версия 6.13 помечена как Enterprise, версия 6.13.0 была выпущена 4 декабря 2018 г.
Продукт

Bitbucket версий Server и Data Center

Правила обновления прошлых релизов

Выпуск новых исправлений багов для:

  • любых версий, обозначенных как Enterprise, для которых еще не прекращена поддержка;
  • всех функциональных обновлений, выпущенных в течение 6 месяцев до выхода исправления.
Пример

Например, если исправление критических проблем безопасности выходит 1 января 2020 года, необходимо выпустить следующие новые версии с исправлениями багов:

  • Bitbucket 6.9.x, поскольку версия 6.9.0 была выпущена 10 декабря 2019 г.;
  • Bitbucket 6.8.x, поскольку версия 6.8.0 была выпущена 6 ноября 2019 г.;
  • Bitbucket 6.7.x, поскольку версия 6.7.0 была выпущена 1 октября 2019 г.;
  • Bitbucket 6.6.x, поскольку версия 6.6.0 была выпущена 27 августа 2019 г.;
  • Bitbucket 6.5.x, поскольку версия 6.5.0 была выпущена 24 июля 2019 г.

Bitbucket 6.3.0 был выпущен 14 мая 2019 г., более чем за 6 месяцев до данного исправления. Если эта версия обозначена как Enterprise, для нее также необходимо выпустить исправление багов.

Product

All other products (BambooCrucibleFisheye, etc)

Back port policy

We will only issue new bug fix releases for the current and previous feature release version.

Example

For example, if a critical security bug fix is developed on 1 January 2020 for Bamboo, the following new bug fix releases would need to be produced:

  • Bamboo 6.10.x because it was released on 17 September 2019 and is the current release
  • Bamboo 6.9.x because 6.9.0 is the previous release

It is important to stay on the latest bug fix release for the version of the product you are using (this is best practice). For example if you are on Jira Software 7.5.0, you should upgrade to Jira Software 7.5.3 proactively. If a new security bug fix is released, e.g. Jira Software 7.5.4, the delta between the two versions is minimal (i.e. only the security fix), making it easier to apply. 

The critical vulnerabilities resolution process does not apply to our Atlassian Cloud products as these services are always fixed by Atlassian without any additional action from customers.

Некритические уязвимости

В случае обнаружения проблемы с высоким, средним или низким уровнем опасности Atlassian включит исправление в состав следующего планового релиза. При возможности исправление также будет адаптировано для версии Enterprise. 

Как только исправление ошибок становится доступным, рекомендуем обновлять установленные у вас продукты, чтобы устранять все проблемы безопасности, решаемые этим релизом.

Прочая информация

Как рассчитывается уровень опасности уязвимости, можно узнать на странице Уровни опасности проблем, связанных с безопасностью.

Мы регулярно пересматриваем наши правила на основании отзывов клиентов и публикуем поправки и дополнения на этой странице. 

Часто задаваемые вопросы

Что такое версия Enterprise? Показать +
  

Версии Enterprise предназначены для пользователей продуктов Server и Data Center, которым нужно больше времени, чтобы подготовиться к функциональным обновлениям. При этом они не собираются отказываться от исправлений багов. У некоторых продуктов статус Enterprise присваивается определенной версии. Клиенты, выбравшие такую версию, получат доступ к исправлениям проблем безопасности, которые будут выпускаться в течение всего двухлетнего периода предоставления поддержки.

Что значит «функциональное обновление»? Показать +
  

Функциональное обновление — это версия (например, 4.3), которая содержит новые возможности или значительно изменяет существующие, но не считается версией Enterprise. Подробнее о принятой в нашей компании системе наименования релизов см. в правилах исправления багов Atlassian.

Почему исправления для Bitbucket, Jira и Confluence применяются только к тем функциональным обновлениям, которые вышли не ранее чем за шесть месяцев до выпуска исправления? Показать +
  

Версии Bitbucket Server выходят очень часто — за шесть месяцев выходит 5–6 основных версий. С середины 2017 года обновления Jira и Confluence выпускаются по схожему графику. Их новые версии выходят 5–6 раз в год.

Почему исправления для других продуктов, таких как Bamboo и Fisheye/Crucible, применяются лишь к одной предыдущей основной версии? Показать +
  

Мы уделяем основное внимание Jira, Confluence и Bitbucket Server, но в будущем мы, возможно, будем расширять исправления для Bamboo, Fisheye/Crucible и других продуктов на большее число основных версий, если в этом будут заинтересованы клиенты.