Politik for offentliggørelse af sårbarheder

Har du fundet et sikkerhedsproblem i fremforge, fortæller denne side, hvordan du rapporterer det, hvad der er omfattet, hvad der ikke er, og hvad vi lover dig til gengæld. Vi følger ISO/IEC 29147 (offentliggørelse af sårbarheder) og RFC 9116 (security.txt).

Den maskinlæsbare udgave af denne side ligger på /.well-known/security.txt på alle domæner, som fremforge driver. Forskere og automatiske værktøjer bør bruge det endpoint; denne side er til mennesker, der kommer fra et søgeresultat.

Sådan rapporterer du

• E-mail: security@frem.sh (fingeraftrykket for PGP-nøglen står i security.txt).
• Foretrukken kanal: krypteret e-mail. Almindelig e-mail accepteres; SMTP TLS til mailbox.org er påkrævet ved levering.
• Mål for kvittering: inden for 24 timer.
• Mål for triage: inden for 5 hverdage sender vi dig vores vurdering af alvorligheden, det forventede tidsrum for en rettelse og en sagsreference.

Opret ikke offentlige issues på frem.sh, og skriv ikke detaljer på sociale medier eller fora, før vi har aftalt en dato for offentliggørelse.

Hvad der er omfattet

• frem.sh og alle de underdomæner, vi driver (*.frem.sh).
• fremverk.com og *.fremverk.com.
• Container-images, som fremforge udgiver (det hostede runner-image og platformens images).
• Problemer i fremforges API til kunder, administrationsbrugerfladen eller CI-runners.

Hvad der ikke er omfattet (og ikke belønnes)

• Fund i indhold, kunderne ejer: kode, secrets, filer i tenanternes repositorier. Rapportér dem direkte til tenanten; det er en hændelse på kundens side.
• Sårbarheder i vores open source-afhængigheder (for eksempel en CVE i selve forgejo). Rapportér dem til upstream-projektets program for offentliggørelse. Vi følger og patcher dem, når en CVE er offentlig.
• Problemer, der kræver fysisk adgang, social engineering af fremverks medarbejdere eller tredjepartstjenester på samme netværk som fremforges brugere.
• Rapporter baseret på forældede oplysninger (for eksempel et skærmbillede af en gammel administrationsside fra før en offentlig migrering).
• “Best practice”-fund uden et scenarie, der kan udnyttes (for eksempel “I burde tilføje header X”): nyttige, men ikke en sårbarhed.
• Rapporter om DDoS, brute force eller omgåelse af rate limits. Det er tuning af infrastrukturen, ikke sikkerhedsfejl.

SLA for rettelser

Uret starter ved vores kvittering.

Tidsplanen for offentliggørelse kan forlænges efter fælles aftale (for eksempel når rettelsen kræver en handling fra kunderne, som tager tid).

Safe harbour

Vi anlægger ikke civil- eller straffesag mod dig og indgiver ikke klager, når din research udføres i god tro, og du:

• Ikke tilgår, ændrer eller sletter data, der ikke tilhører dig. Brug testkonti, hvor det er muligt.
• Ikke forringer tjenesten for andre brugere: ingen DoS, ingen scanning i stor skala, ingen automatiseret brute force.
• Ikke trækker flere data ud end nødvendigt for at vise virkningen. Et par bytes er nok; vi har ikke brug for databasen.
• Rapporterer problemet privat via security@frem.sh og giver os en rimelig frist til at rette det, før du går offentligt ud.
• Overholder gældende lov i den jurisdiktion, du arbejder fra.

Research, der udføres i god tro på de vilkår, er tilladt efter Computer Misuse Act 1990 §17(5)(c) (UK), Computer Fraud and Abuse Act 18 U.S.C. §1030(f), undtagelsen for “research” (hvor det er relevant) og tilsvarende regler i EU’s medlemsstater. Hvor lokal lovgivning kræver en udtrykkelig tilladelse, udgør denne side den tilladelse.

Bounty-program

Vi har i øjeblikket ikke et betalt bounty-program. Vi har en offentlig hall of fame for forskere, der rapporterer bekræftede problemer og giver samtykke til at blive nævnt, og vi sender en takkepakke med fremverk-branding (T-shirt, pin, klistermærker) for hver rapport, vi udgiver en rettelse til.

Vi forventer at formalisere et betalt program, når fremforge når det antal kunder, hvor det giver mening for begge parter; i øjeblikket planlagt til andet halvår 2026.

Historik over offentliggørelser

Når vi udgiver en rettelse til et rapporteret problem, offentliggør vi en kort post mortem på statussiden med kredit til den, der rapporterede (hvis vedkommende har givet samtykke). Et særskilt indeks over advisories kommer til at ligge på denne URL efter lanceringen.

Se også

• security.txt: den maskinlæsbare udgave af denne side.
• Integritet i revisionskæden: relevant baggrund for rapporter om, at “revisionsloggen ikke kan genafspilles af nogen”.
• SIEM-videresendelse: relevant baggrund for rapporter om, at “kunden ikke kan se hændelsen”.