Reporting security bugs/uk

This page is a translated version of the page Reporting security bugs and the translation is 36% complete.

Це процес звітності про проблеми безпеки в програмі та сервісах, які підтримуються або експлуатуються Фондом Вікімедіа. Це включає MediaWiki і Вікімідіа-проекти такі як Вікіпедія.

Ми підтрмуємо відповідальне викриття вразливостей і ми сподіваємося, що кожен, хто виявить потенційну проблему безпеки в нашій екосистемі, діятиме розсудливо та стримано.

Що вважаэться за проблему безпеки

Це загальний облік, а не вичерпний перелік обсягу цього процесу.

Проблеми, які впливають на доступність однієї з декількох послуг, які є частиною екосистеми Вікімедіа, але особливо, коли це є результатом ворожої групи дій або кампанії.
Коли цілісність даних, які хостуються Фондом Вікімедіа або пов'язаними суб'єктами, піддається ризику пошкодження, порушень або іншим чином зміни в неназваному вигляді.
Коли конфіденційність даних, що належать Фонду Вікімедіа або пов'язаним організаціям, піддається загрозі, таким чином, що інформація, яка має бути обмежена або приватна, витокується, розкривається, або вкрадається несанкціонованим способом.

In-scope domains

mediawiki.org
w.wiki
wikibooks.org
wikidata.org
wikimedia.com
wikimedia.org
wikimediafoundation.org
wikinews.org
wikipedia.org
wikinews.org
wikisource.org
wikiversity.org
wikivoyage.org
wiktionary.org

Examples of in-scope vulnerabilities

Remote Code Execution (RCE)
SQL injection (SQLi)
Authorization bypass/escalation
Sensitive information leaks
Cross-site scripting (XSS)
Cross-site request forgery (CSRF)

Examples of out-of-scope vulnerabilities

SPF configuration, or lack thereof
DKIM configuration, or lack thereof
DMARC configuration, or lack thereof
DNSSEC configuration, or lack thereof
Clickjacking, also known as a "UI redress attack"
That "anyone can edit" our projects
Source code disclosures (unless it's a password/auth key); our code is open source
Assumed vulnerabilities based upon version numbers only

Повідомляти про проблему безпеки

Щоб повідомити про проблему, надішліть повідомленя на security@wikimedia.org, або заповните звіт Повідомте о проблемі небезпеки на платформі Фабрикатор.

Такі звіти не будуть відомі публічно на момент подачі звіту. Нижче розписано подальший процес, як тільки питання вирішуються.

Що вказати у звіті проблеми небезпеки

Поступові інструкції для відтворення проблеми.
Якщо можливо, код підтвердження концепції, який демонструє проблему на найкращому прикладі.
Якщо уязвимість можна відтворити на проекті Вікімедіа (наприклад, Вікіпедії або Віксініорі), вкажіть, який, оскільки конфігурації сайту змінюються.
Якщо це можливо, вкажіть, чи ви залоговані або вилоговані, коли виникає проблема.
Для XSS або якщо проблема пов’язана з уразливістю, для усунення якої потрібен певний браузер чи плагін, вкажіть, яким браузером і якою версією ви користуєтеся. Буде корисно вказати конкретну версію будь-якого програмного забезпечення, яке ви використовуєте.
Якщо відомо, категорія проблеми OWASP (згідно з OWASP Топ 10 для 2017), або CWE індифікатор (згідно з CWE від Research Concepts).
CVE якщо назначено (згідно з NIST CVE базою даних).
Будь-яка інша інформація, необхідна для розслідування та відтворення проблеми.

Якщо ви повідомите про вразливість електронною поштою на адресу security@wikimedia.org, повідомте нам, чи є у вас аккаунт для Вікімедіа Фабрикатор, щоб ми могли вас додати до проблеми, і ви могли дізнатися статус.

Облікові записи Фабрикатор можна створити єдиним обліковим записом.

What happens when security issues are reported

We will:

Determine whether we consider it to be a security issue.
Attempt to reproduce the issue, and assign a priority to the bug based on its impact.
A patch will be added in Phabricator, and another person will review it.
- The patch should contain regression tests, whenever possible.
The patch will be deployed on the Wikimedia cluster, and access to the patch will be given to a few trusted partners and distributors.^{[citation needed]}
If applicable, the patch will be included in the next release of MediaWiki. If the impact of the vulnerability is especially bad, or we have indication that it is being actively exploited, we will make a special security release of MediaWiki to ensure third parties are protected.
Unless you explicitly indicate that certain information must not be published, we will make the Phabricator ticket public when the fix is released, and credit you in the release announcement. If you report the issue via email to security@wikimedia.org the email itself may be publicly released. This may include your email address and signature unless you request otherwise. The Phabricator tag PermanentlyPrivate will ensure reports are kept confidential in perpetuity.
Determine if a CVE record needs to be published if it was not included in the original report.

Crediting reporters

Credit will be given to the reporter in the commit message fixing the issue.
Credit will be given to the reporter in the official announcement email going to the MediaWiki-announce mailing lists.

Tracking report remediation

When possible during the remediation process, the security bugs should have comments that include:

Step-by-step instructions to reproduce further issues.
Links to the commits that introduced the bug.
Links to the Gerrit changesets that fix the bug.

Reporter access to their own authored reports is standard, but to gain access to security protected issues generally there is a separate process.

Contributing patches

If you would like to provide a patch for a security bug, please add it as an attachment to the Phabricator task. You can either drag-and-drop the patch into the comment area, or include a diff of the patch as a comment.

Please do not submit patches to Gerrit. All Gerrit changes (including "drafts") are publicly accessible.

See Creating a Security Patch section on wikitech for steps to create these patches, and Security patches section for how these patches are deployed.

Project	Use by Product Safety and Integrity
mediawiki.org	General content for Policy, SOPs, etc. PSI team page .
wikitech.wikimedia.org	Procedural or instructional material that is not training.
meta.wikimedia.org	Policy and other content for translation.
office.wikimedia.org	Sensitive or private content. Must have an NDA and appropriate access.
foundation.wikimedia.org	Canonical location for policies.