Cách chúng tôi xử lý các lỗ hổng được phát hiện

Ai có thể xem báo cáo

Báo cáo quét chỉ có thể truy cập qua liên kết riêng tư, trong đó có một mã định danh ngẫu nhiên. Báo cáo không được liệt kê ở bất kỳ đâu, không được đưa vào kết quả của công cụ tìm kiếm và không được chia sẻ với bên thứ ba, ngoại trừ nhà cung cấp mô hình AI xử lý mã nguồn.

Bất kỳ ai cũng có thể bắt đầu quét một kho mã nguồn công khai, kể cả người không duy trì kho đó. Vì vậy, báo cáo được thiết kế để ưu tiên hỗ trợ người bảo vệ: giải thích lỗi, nguyên nhân gốc rễ và cách khắc phục, trong khi các bản tái hiện lỗi vẫn được ẩn cho đến khi có người chứng minh quyền ghi bằng cách commit một tệp token vào kho mã nguồn.

Dự án đã đăng ký

Báo cáo của các dự án đã đăng ký được gửi qua email đến địa chỉ liên hệ chính đã xác nhận và tối đa năm địa chỉ CC. Cần xác nhận email và chứng minh quyền ghi trước khi gửi bất kỳ báo cáo nào.

Không đặt thời hạn

Các phát hiện được tạo bởi mô hình AI và không được con người xem xét. Chúng tôi không cho rằng việc đặt thời hạn tiết lộ cho những phát hiện chưa được xác thực là công bằng, vì vậy chúng tôi không bao giờ đặt thời hạn. Quyết định khi nào và bằng cách nào sẽ sửa lỗi và tiết lộ hoàn toàn thuộc về dự án.

Chúng tôi không công bố

Chúng tôi không công bố phát hiện, viết khuyến cáo bảo mật, tạo issue công khai hay yêu cầu CVE thay mặt dự án. Nếu muốn yêu cầu CVE cho một vấn đề chúng tôi phát hiện, bạn có thể tự thực hiện — việc ghi công mã ID phát hiện là tùy chọn.

Quy tắc báo cáo có hỗ trợ AI

Báo cáo của chúng tôi tuân theo hướng dẫn mà các dự án lớn đã công bố về báo cáo có hỗ trợ AI, bao gồm hướng dẫn của Linux kernel: tóm tắt trước, tác động có thể xác minh thay vì suy đoán, bản vá đề xuất, commit đưa lỗi vào để dùng với thẻ Fixes:, và chỉ chia sẻ bản tái hiện lỗi với người duy trì dự án. Nếu chuyển tiếp một phát hiện cho dự án, vui lòng tự xác minh trước.

Lưu trữ

Báo cáo quét được lưu trong 90 ngày; báo cáo của dự án đã đăng ký được lưu chừng nào dự án còn đăng ký. Người duy trì dự án có thể yêu cầu chúng tôi xóa bất kỳ báo cáo nào: hello@ossscanner.org.

Lỗ hổng trong ossscanner.org

Nếu phát hiện vấn đề bảo mật trong chính dịch vụ này, vui lòng gửi email đến hello@ossscanner.org. Chúng tôi sẽ trả lời trong vòng vài ngày và ghi công bạn nếu bạn muốn.