Seguridad - Omarchy

Mag-ulat ng kahinaan sa seguridad

Kung naniniwala kang nakakita ka ng kahinaan sa seguridad sa Omarchy, paki-report ito nang pribado sa Omarchy Security Team sa pamamagitan ng aming HackerOne program, para magkaroon kami ng pagkakataong siyasatin at ayusin ito bago ito isapubliko. Ang mga kumpirmadong kahinaan ay kwalipikado para sa mga bounty na binabayaran sa pamamagitan ng HackerOne.

hackerone.com/omarchy

Huwag munang mag-ulat nang publiko sa GitHub Issues, Discord, o social media ng mga posibleng kahinaan bago malutas ang mga ito.

Ano ang kahinaan sa seguridad?

Itinuturing naming kahinaan sa seguridad ang isang bug kapag maaari itong gamitin para makalampas sa makabuluhang hangganan ng seguridad: nakakakuha ang hindi pinagkakatiwalaan o mas mababa ang pribilehiyong panig ng access, pahintulot, o kontrol na wala sila dati.

Ang code na maaari pang patibayin pero hindi lumalampas sa hangganan ng seguridad ay isang pagpapahusay, hindi kahinaan sa seguridad. Maaari pa rin naming tanggapin ang iminungkahing pag-aayos at kilalanin ang nag-ulat sa release notes.

Ang pagkakasama sa pahina ng mga ambag sa seguridad ay nakabatay sa kung may natukoy na kumpirmadong kahinaan ang ulat, hindi sa tindi nito.

Ano ang isasama

Bigyan kami ng sapat na impormasyon para maunawaan at maulit ang problema:

Ang apektadong component at bersiyon ng Omarchy.
Paliwanag kung ano ang magagawa ng umaatake bago at pagkatapos gamitin ang kahinaan.
Mga hakbang para maulit ang problema at anumang proof of concept.
Ang gusto mong contact details para sa follow-up.

Responsableng pag-uulat

Kumilos nang may mabuting layunin habang nagsisiyasat at nag-uulat ng mga kahinaan:

Subukan lamang ang mga sistema at account na pag-aari mo o may malinaw kang pahintulot na subukan.
Iwasan ang paglabag sa privacy, panggagambala, pagsira ng data, at pagpapahina ng serbisyo.
Huwag gamitin ang kahinaan nang higit sa kailangan para maipakita ito.
Bigyan kami ng makatwirang pagkakataong siyasatin at tugunan ang problema bago ilathala ang mga detalye.

Susuriin namin ang ulat mo at magbibigay kami ng balita hangga't kaya habang gumagawa ng solusyon.

Pagkilala

Pinasasalamatan sa pahina ng mga ambag sa seguridad ang mga mananaliksik na pribadong nag-uulat ng kumpirmadong kahinaan at nagbibigay sa amin ng pagkakataong maglabas ng pag-aayos. Maaari pa ring kilalanin sa release notes ang mga tinanggap na pagpapahusay na hindi lumalampas sa hangganan ng seguridad.

May link sa X profile at avatar ng bawat nag-ulat ang pagkilala. Sa magkaparehong ulat, ang unang nag-ulat lamang ang maaaring kilalanin.

Karaniwang mga bug at suporta

Para sa anumang hindi kahinaan sa seguridad, gamitin ang issue tracker ng Omarchy.

Pag-report sa pamamagitan ng email

Kung ayaw mong gumawa ng HackerOne account, maaari mo ring i-email ang report mo sa security@omarchy.org.