Een kwetsbaarheid melden

Hoe je een beveiligingsprobleem vertrouwelijk meldt, en wat er daarna gebeurt

Meld het vertrouwelijk

AnsibleForms bewaart inloggegevens en vault-tokens, dus meld een beveiligingsprobleem nooit in een openbaar issue:

Open Report a vulnerability: een vertrouwelijke advisory die alleen de maintainers zien.
Is die pagina voor jou niet beschikbaar, open dan een gewoon issue waarin je alleen zegt dat je een beveiligingsmelding hebt en vraagt om een vertrouwelijk kanaal: geen details, geen reproductie, geen versienummers. Een maintainer opent een vertrouwelijke advisory en nodigt je daarvoor uit.

Het volledige beleid staat in SECURITY.md van de repository.

Hoe meer hiervan een melding bevat, hoe sneller het wordt opgelost:

Wat een aanvaller wint: de gegevens van een andere gebruiker, een playbook dat hij niet mag uitvoeren, de host, of adminrechten.
De versie, en hoe die is uitgerold: Docker, Kubernetes, of native geïnstalleerd.
Een reproductie, of het verzoek dat het probleem veroorzaakt.
Of er een aangemelde gebruiker voor nodig is, en met welke rolopties.

Een melding loopt via dezelfde vertrouwelijke advisory, van het eerste bericht tot de publicatie:

Stap	Wat je krijgt
Ontvangstbevestiging	Bevestiging dat de melding is aangekomen, en of het probleem te reproduceren is
Geaccepteerd	Een oplossing in de volgende release van elke ondersteunde versie, en een gepubliceerde advisory die jou vermeldt, tenzij je liever niet genoemd wordt
Afgewezen	De redenering, meestal dat het gedrag een recht vereist dat de melder al had

Zodra de oplossing is uitgebracht, wordt de advisory gepubliceerd en verschijnt die in Beveiligingsadvisories.

Het beleid trekt de grens waar het rollenmodel die trekt:

Binnen de reikwijdte	Buiten de reikwijdte
Alles wat een aangemelde gebruiker kan bereiken buiten wat zijn rol toestaat	Bevindingen waarvoor het adminaccount al gecompromitteerd moet zijn: een admin die elk playbook kan uitvoeren, is het product
Alles wat bereikbaar is zonder aan te melden	Scannerrapporten zonder aangetoonde impact
Opgeslagen inloggegevens die leesbaar worden, of in een log terechtkomen
Injectie in de shell, de database of de browser