كيف نتعامل مع الثغرات التي نعثر عليها

من يمكنه الاطلاع على التقرير

لا يتاح تقرير الفحص إلا عبر رابطه الخاص الذي يتضمن معرّفًا عشوائيًا. لا تُدرج التقارير في أي مكان، وتُستبعد من محركات البحث، ولا تُشارك مع أطراف ثالثة باستثناء مزود نموذج الذكاء الاصطناعي الذي يعالج الشيفرة.

يمكن لأي شخص بدء فحص لمستودع عام، بمن فيهم من لا يشرفون على صيانته. لذلك صُممت التقارير لمساعدة المدافعين أولًا: فهي تشرح الثغرة وسببها الجذري وطريقة إصلاحها، بينما تظل ملفات إعادة إنتاج المشكلة مخفية إلى أن يثبت أحدهم صلاحية الكتابة عن طريق إيداع ملف رمز في المستودع.

المشاريع المسجلة

تُرسل تقارير المشاريع المسجلة بالبريد الإلكتروني إلى جهة الاتصال الأساسية المؤكدة، وإلى ما يصل إلى خمسة عناوين في خانة CC. يجب تأكيد البريد الإلكتروني وإثبات صلاحية الكتابة قبل إرسال أي تقرير.

لا مواعيد نهائية

تُنشأ النتائج بواسطة نماذج الذكاء الاصطناعي ولا يراجعها البشر. لا نرى أن من العدل بدء مهلة للإفصاح عن نتائج لم يتحقق أحد منها، لذا لا نحدد أي مهلة. ويعود للمشروع وحده قرار توقيت الإصلاح والإفصاح وكيفيتهما.

لا ننشر

لا ننشر النتائج، ولا نكتب تنبيهات أمنية، ولا نفتح بلاغات عامة، ولا نطلب CVE نيابةً عن أي مشروع. إذا أردت طلب CVE بشأن أمر عثرنا عليه، فلك ذلك — والإشارة إلى معرّف النتيجة اختيارية.

قواعد إعداد التقارير بمساعدة الذكاء الاصطناعي

تتبع تقاريرنا الإرشادات التي نشرتها المشاريع الكبرى بشأن التقارير المُعدة بمساعدة الذكاء الاصطناعي، بما فيها إرشادات نواة Linux: يبدأ التقرير بملخص، ويعرض أثرًا يمكن التحقق منه بدلًا من التكهنات، ويقترح رقعة، ويحدد الإيداع الذي أدخل المشكلة لإضافة وسم Fixes:، ولا تُشارك ملفات إعادة إنتاج المشكلة إلا مع مشرفي الصيانة. إذا أحلت نتيجة إلى مشروع، فيُرجى التحقق منها بنفسك أولًا.

الاحتفاظ بالبيانات

نحتفظ بتقارير الفحوص لمدة 90 days، وب تقارير المشاريع المسجلة ما دامت المشاريع مسجلة. يمكن لمشرفي الصيانة طلب حذف أي تقرير عبر: hello@ossscanner.org.

الثغرات في ossscanner.org

إذا عثرت على مشكلة أمنية في هذه الخدمة نفسها، فيُرجى مراسلتنا على hello@ossscanner.org. سنرد خلال بضعة أيام، وننسب الفضل إليك إذا رغبت بذلك.