안녕하세요!
저희는 Discourse를 자체 호스팅하고 있으며, 회사 규정상 코드 스캔을 실행하고 있습니다. 많은 취약점을 발견했는데… Hacker One을 통해 발견한 각 문제를 하나씩 보고하는 것은 가장 실용적인 방법이 아닙니다. 어떻게 하는 것이 좋을까요?
https://github.com/discourse/discourse/blob/main/docs/SECURITY.md에서 가져옴
보안 문제를 어디에 보고해야 하나요?
커뮤니티가 대응하고 업그레이드할 시간을 확보하기 위해, 모든 보안 문제를 비공개로 보고해 주실 것을 강력히 권고합니다. 자세한 내용과 재현 단계를 제공하기 위해 Hacker One의 취약점 공개 프로그램을 사용해 주십시오.我们会尽快 응답하겠습니다. Hacker One을 사용할 수 없는 경우, 자세한 내용과 재현 단계를
team@discourse.org로 직접 이메일로 보내 주십시오. 보안 문제는 항상 버그 수정 및 기능 개발보다 우선합니다. 심각한 보안 수정이 포함된 릴리스는 "긴급"으로 표시할 수 있으며 실제로 그렇게 하고 있습니다.참고: 이메일로 전송되는 저품질 보안 보고서가 상당수 접수되고 있어, 신뢰할 수 있는 출처에서 보내졌거나 취약점에 대한 세부 정보와 재현을 위한 단계별 지침이 포함된 경우를 제외하고는 이메일로 접수된 보안 보고서에 대해 조치를 취하지 못할 가능성이 높습니다. 개념 증명(Proof of Concept)이 없는 이론적인 보고서는 접수되지 않습니다. Hacker One 제출 프로토콜을 따를 것을 강력히 권장합니다.
시중에서 구할 수 있는 도구로 수행하는 스캔은 아무도 시간을 낭비하고 싶어 하지 않는 막대한 양의 오탐(false positive)을 생성합니다.
실제로 문제가 발견되었다면, 각 보고서를 검증하여 유효하지 않은 것이 아닌지 확인하는 역할을 수행하는 우리 Hacker One 페이지를 통해 보고해 주시기 바랍니다.