脆弱性の開示
リクエストに潜在的なセキュリティの脆弱性を発見したと思われる場合は、 Nate および Seth に直接メールでお問い合わせください。 公開の問題を提出しないでください。
PGPKeyフィンガープリントは次のとおりです。
- 8722 7E29 AD9C FF5C FAC3 EA6A 44D3 FF97 B80D C864（ @nateprewitt ）
- EDD5 6765 A9D8 4653 CBC8 A134 51B0 6736 1740 F5FC（ @sethmlarson ）
必要に応じて、上記のプロファイルを使用して Keybase でお問い合わせいただくこともできます。
英語が母国語でない場合は、問題とその影響を最大限に説明してください。 詳細については、母国語を使用してください。オンラインサービスを使用して翻訳できるよう最善を尽くします。
問題を見つけるために使用したコードと、問題を再現するために必要な最短のコードも含めてください。
これを他人に開示しないでください。 必要に応じてCVE識別子を取得し、指定した名前またはエイリアスで完全なクレジットを提供します。 修正があり、リリースで公開できる場合にのみ、識別子を要求します。
私たちはあなたのプライバシーを尊重し、あなたが私たちに許可を与えた場合にのみあなたの関与を公表します。
プロセス
この以下の情報は、脆弱性の開示に応じてプロジェクトが従うプロセスについて説明しています。 脆弱性を開示する場合、ドキュメントのこのセクションでは、開示にどのように対応するかをお知らせします。
タイムライン
問題を報告すると、プロジェクトメンバーの1人が2日以内に外部であなたに返信します。 ほとんどの場合、応答はより速く、通常は12時間以内になります。 この最初の応答は、少なくともレポートの受信を確認します。
問題を迅速に再現できた場合、最初の対応には問題の確認も含まれます。 そうでない場合は、再現シナリオに関する詳細情報を求められることがよくあります。
私たちの目標は、最初の開示から2週間以内にリリースされた脆弱性を修正することです。 これには、より成熟した修正を準備できる一方で機能を単に無効にする暫定リリースの出荷が含まれる可能性がありますが、ほとんどの場合、完全なリリースをできるだけ早く出荷することを意味します。
修正プロセス全体を通じて、修正の進捗状況を常に把握します。 修正の準備ができたら、修正があると思われることを通知します。 特に再現シナリオに自信がない場合は、修正によって環境の問題が解決することを確認するように求められることがよくあります。
この時点で、リリースの準備をします。 必要に応じてCVE番号を取得し、発見に対する完全なクレジットを提供します。 また、発売予定日も決定し、お知らせします。 このリリース日は常に平日になります。
この時点で、主要なダウンストリームパッケージャーに連絡して、セキュリティ関連のパッチが差し迫っていることを通知し、手配できるようにします。 さらに、これらのパッケージャーには、ダウンストリームパッケージを迅速にリリースできるように、目的のパッチが事前に提供されます。 現在、公開リリースに先立ってに積極的に連絡している人のリストは次のとおりです。
- Pythonメンテナンスチーム、Red Hat（ [email protected] ）
- Daniele Tricoli、Debian（@eriol）
準備に十分な時間を確保するために、リリース予定日の少なくとも1週間前にこれらの個人に通知します。 このリストに載るべきだと思われる場合は、この記事の上部にあるメールアドレスの1つでメンテナの1人に知らせてください。
リリース日に、問題を説明し、クレジットを付与する更新された変更ログとともに、パッチを公開リポジトリにプッシュします。 次に、パッチを含むPyPIリリースを発行します。
この時点で、リリースを公開します。 これには、メーリングリストへのメール、ツイート、およびコアチームが利用できるその他すべての通信メカニズムが含まれます。
また、アップグレードがオプションでない場合に、他のディストリビューターやユーザーが自分のバージョンのリクエストに簡単にパッチを適用できるようにするための修正が含まれているコミットについても明示的に説明します。
以前のCVE
- 2.20.0で修正- CVE 2018-18074
- 2.6.0で修正
- CVE 2015-2296 、 BugFuzz のMatthewDaleyによって報告されました。
- 2.3.0で修正
