脆弱性の報告

セキュリティ問題を非公開で報告する方法と、その後の流れ

  1. 非公開で報告する
  2. 報告に含める内容
  3. その後の流れ
  4. 対象範囲

非公開で報告する

AnsibleForms は認証情報や Vault のトークンを保持しているため、セキュリティ問題を公開の issue で報告しないでください。

  1. Report a vulnerability を開きます。これはメンテナーだけが見られる非公開のアドバイザリです。
  2. そのページを利用できない場合は、セキュリティの報告があることだけを書いて非公開の連絡手段を求める通常の issue を作成してください。 詳細、再現手順、バージョン番号は書かないでください。メンテナーが非公開のアドバイザリを作成し、 そこに招待します。

ポリシーの全文は、リポジトリの SECURITY.md にあります。

報告に含める内容

次の情報が多く含まれているほど、修正が早くなります。

  • 攻撃者が得られるもの: ほかのユーザーのデータ、実行を許可されていない playbook、ホスト、または管理者権限。
  • バージョンとデプロイ方法: Docker、Kubernetes、またはネイティブインストール。
  • 再現手順、またはそれを引き起こすリクエスト。
  • サインインしたユーザーが必要かどうか、必要な場合はどの ロールオプション か。

その後の流れ

報告は、最初のメッセージから公開まで、同じ非公開のアドバイザリで扱われます。

ステップ 受け取るもの
受領確認 報告が届いたことと、再現できるかどうかの確認
受理 すべての サポート対象のバージョン の次のリリースでの修正と、報告者のクレジットを記載した公開アドバイザリ (名前を出したくない場合を除く)
却下 その理由。通常は、その動作に報告者がすでに持っていた権限が必要だったというものです

修正がリリースされると、アドバイザリが公開され、 セキュリティアドバイザリ に表示されます。

対象範囲

ポリシーは、ロールモデルと同じところに線を引いています。

対象 対象外
サインインしたユーザーが、ロールで付与された範囲を超えてアクセスできるもの 管理者アカウントがすでに侵害されていることを前提とする発見事項。管理者がどの playbook でも実行できるのは製品の仕様です
サインインせずにアクセスできるもの 影響が実証されていないスキャナーの報告
保存された認証情報が読み取れる状態になる、またはログに書き込まれること  
シェル、データベース、ブラウザーへのインジェクション