Eine Schwachstelle melden
Wie Sie ein Sicherheitsproblem vertraulich melden und was danach passiert
Vertraulich melden
AnsibleForms verwahrt Zugangsdaten und Vault-Tokens, melden Sie ein Sicherheitsproblem also nie in einem öffentlichen Issue:
- Öffnen Sie Report a vulnerability: ein privates Advisory, das nur die Maintainer sehen.
- Steht Ihnen diese Seite nicht zur Verfügung, öffnen Sie ein normales Issue, das nur sagt, dass Sie eine Sicherheitsmeldung haben, und um einen privaten Kanal bittet: keine Details, kein Reproduktionsbeispiel, keine Versionsnummern. Ein Maintainer öffnet ein privates Advisory und lädt Sie dazu ein.
Die vollständige Richtlinie ist die SECURITY.md des Repositorys.
Was eine Meldung enthalten sollte
Je mehr davon eine Meldung enthält, desto schneller wird das Problem behoben:
- Was ein Angreifer gewinnt: die Daten eines anderen Benutzers, ein Playbook, das er nicht ausführen darf, den Host oder Admin-Rechte.
- Die Version und wie sie bereitgestellt ist: Docker, Kubernetes oder nativ installiert.
- Ein Reproduktionsbeispiel oder die Anfrage, die das Problem auslöst.
- Ob ein angemeldeter Benutzer nötig ist, und mit welchen Rollenoptionen.
Was danach passiert
Eine Meldung läuft von der ersten Nachricht bis zur Veröffentlichung über dasselbe private Advisory:
| Schritt | Was Sie erhalten |
|---|---|
| Eingangsbestätigung | Die Bestätigung, dass die Meldung angekommen ist, und ob sie sich reproduzieren lässt |
| Angenommen | Eine Korrektur im nächsten Release jeder unterstützten Version und ein veröffentlichtes Advisory, das Sie nennt, sofern Sie nicht lieber ungenannt bleiben |
| Abgelehnt | Die Begründung, meist dass das Verhalten eine Berechtigung voraussetzt, die der Meldende bereits hatte |
Sobald die Korrektur veröffentlicht ist, wird das Advisory veröffentlicht und erscheint unter Security Advisories.
Geltungsbereich
Die Richtlinie zieht die Grenze dort, wo das Rollenmodell sie zieht:
| Im Geltungsbereich | Außerhalb des Geltungsbereichs |
|---|---|
| Alles, was ein angemeldeter Benutzer über das hinaus erreicht, was seine Rolle erlaubt | Befunde, die ein bereits kompromittiertes Admin-Konto voraussetzen: Ein Admin, der beliebige Playbooks ausführt, ist das Produkt |
| Alles, was ohne Anmeldung erreichbar ist | Scannerberichte ohne nachgewiesene Auswirkung |
| Gespeicherte Zugangsdaten, die lesbar werden oder in ein Protokoll geschrieben werden | |
| Injection in die Shell, die Datenbank oder den Browser |