安全缺陷修复政策
Atlassian 致力于确保客户系统不会因为 Atlassian 产品中漏洞遭到利用而受到损害，并将其作为一项首要任务。
范围
本政策描述了我们如何以及何时解决产品中的安全漏洞。
安全缺陷修复服务级别目标 (SLO)
Atlassian 根据安全问题严重性级别和受影响的产品来设置修复安全漏洞的服务级别目标。我们为解决产品中的安全问题定义了以下时限目标：
加速解决目标
这些时限适用于：
- 所有基于云的 Atlassian 产品
- 由 Atlassian 管理的任何软件或系统
- 在 Atlassian 基础架构上运行的任何软件或系统
- Jira Align、云和自行管理的版本
根据漏洞级别，我们定义了以下验证后在产品中应用修复的时间线：
- 危急缺陷必须在 10 日内修复
- 高危缺陷必须在 28 日内修复
- 中危缺陷应在 84 日内修复
- 低危缺陷应在 175 日内修复
延期解决时限
以下时限目标适用于所有 Data Center Atlassian 产品和移动应用。Data Center 产品由客户安装在客户管理的系统上。
- 严重性为严重、高和中的漏洞于验证之日起 90 天内在相关产品中修复
- 严重性为低的漏洞于验证之日起 180 天内在相关产品中修复
责任共担模式
Atlassian 致力于提供现成可用的安全产品，同时我们也依赖于责任共担模式。这种模式要求客户将实践实施持续到部署之后并延伸到运营阶段。其中的一些责任包括：
- 在专用网络上运行 Atlassian 软件。
- 确保在安全修复发布后及时实施。
- 配置 Web 应用防火墙 (WAF)、VPN、多因素身份验证和单一登录。
- 实施加密和访问控制。
- 执行定期备份。
- 执行定期安全审核。
严重漏洞
当 Atlassian 发现或第三方报告严重漏洞时，Atlassian 会采取以下各项措施：
- 对于云产品，我们将尽快为受影响的产品发布新的修复版本
- 对于自行管理的产品，我们将：
- 为受影响产品的最新功能版本交付缺陷修复版本。
- 按照发布时间表为受影响的产品交付新的功能版本。
- 根据 Atlassian 支持终止政策，为受影响产品的所有支持的 LTS 版本发布缺陷修复版本。
产品 | 向后移植策略 | 示例 |
|---|---|---|
| Jira Software Server 和 Data Center Jira Server 和 Data Center Jira Service Management Server 和 Data Center（前身为 Jira Service Desk） | 为以下版本发布新的缺陷修复版本：
| 例如，如果 2020 年 1 月 1 日开发了严重安全缺陷的修复程序，则需要生成下列新的缺陷修复版本：
|
| Confluence Server 和 Data Center | 为以下版本发布新的缺陷修复版本：
| 例如，如果 2020 年 1 月 1 日开发了严重安全缺陷的修复程序，则需要生成下列新的缺陷修复版本：
|
| Bitbucket Server 和 Data Center | 为以下版本发布新的缺陷修复版本：
| 例如，如果 2020 年 1 月 1 日开发了严重安全缺陷的修复程序，则需要生成下列新的缺陷修复版本：
Bitbucket 6.3.0 发布于 2019 年 5 月 14 日，距离修复日期超过了 6 个月。如果它已被指定为“长期支持”版本，则也会生成缺陷修复版本。 |
| 我们只会为当前和上一功能版本发布新的缺陷修复版本。 | 例如，如果 2020 年 1 月 1 日为 Bamboo 开发了严重安全缺陷的修复程序，则需要生成下列新的缺陷修复版本：
|
对于 Crowd、Fisheye 和 Crucible，我们将为受影响产品的最新功能版本提供缺陷修复版本。
自行管理产品的严重漏洞修复示例：
如果在 2024 年 2 月 1 日开发了严重漏洞修复，以下是将收到缺陷修复的版本示例：
产品 | 示例 |
|---|---|
| Jira Software | 示例 Jira Software 9.13.x，因为 9.13.0 是最新的功能版本 |
| 示例 Jira Software 9.12.x，因为 9.12.0 是最新的“长期支持”版本 | |
| 示例 Jira Software 9.4.x，因为 9.4.0 是之前的“长期支持”版本 | |
| Jira Service Management | 示例 Jira Service Management 5.13.x，因为 5.13.0 是最新的功能版本 |
| 示例 Jira Service Management 5.12.x，因为 5.12.0 是最新的“长期支持”版本 | |
| 示例 Jira Service Management 5.4.x，因为 5.4.0 是第二个最新支持的“长期支持”版本 | |
| Confluence | 示例 Confluence 8.7.x，因为 8.7.0 是最新的功能版本 |
| 示例 Confluence 8.5.x，因为 8.5.0 是最新的“长期支持”版本 | |
| 示例 Confluence 7.19.x，因为 7.19.0 是第二个最新支持的“长期支持”版本 | |
| Bitbucket | 示例 Bitbucket 8.17.x，因为 8.17.0 是最新的功能版本 |
| 示例 Bitbucket 8.9.x，因为 8.9.0 是最新的“长期支持”版本 | |
| 示例 Bitbucket 7.21.x，因为 7.21.0 是第二个最新支持的“长期支持”版本 | |
| Bamboo | 示例 Bamboo 9.5.x，因为 9.5.0 是最新的功能版本 |
| 示例 Bamboo 9.2.x，因为 9.2.0 是最新的“长期支持”版本 | |
| Crowd | 示例 Crowd 5.3.x，因为 5.3.0 是最新的功能版本 |
| Fisheye/Crucible | 示例 Fisheye/Crucible 4.8.x，因为 4.8.0 是最新的功能版本 |
没有其他产品版本会收到新的缺陷修复。
频繁升级可确保产品实例的安全性。最佳实践是继续使用最新功能版本或产品的 LTS 版本的最新缺陷修复版本。
非严重漏洞
当发现严重性为“高”、“中”或“低”的安全问题时，Atlassian 将在本文档开头列出的服务级别目标范围内发布修复。如果可行，该修复也可以向后移植到“长期支持”版本。向后移植的可行性受多种因素的影响，包括软件依赖关系、体系结构修改和兼容性问题等。
为确保您的安装包含最新的安全修复，请在有缺陷修复发布时升级它们。