Política de correção de bugs de segurança
Para a Atlassian, é prioridade garantir que os sistemas dos clientes não sejam comprometidos explorando as vulnerabilidades nos produtos da Atlassian.
Escopo
Veja abaixo como e quando os bugs de segurança nos nossos produtos são resolvidos, mas observe que os processos de consultoria e divulgação que a gente segue não estão descritos por completo.
Objetivos de Nível de Serviço (SLO) de atualização de segurança
A Atlassian define Objetivos de Nível de Serviço para corrigir vulnerabilidades de segurança com base no nível de gravidade de segurança e no produto afetado. Foram definidos os seguintes cronogramas para corrigir problemas de segurança nos produtos:
Cronogramas de Resolução Acelerada
Os cronogramas são usados em todos os produtos baseados em nossa nuvem e em qualquer outro software ou sistema gerenciado por nós ou que esteja sendo executado na infraestrutura da Atlassian. Eles também são válidos para o Jira Align (tanto na versão de nuvem quanto na autogerenciada).
- Bugs de gravidade crítica devem ser corrigidos no produto no prazo de 14 dias após a verificação
- Bugs de gravidade alta devem ser corrigidos no produto no prazo de 28 dia após a verificação
- Bugs de gravidade média devem ser corrigidos no produto no prazo de 42 dias após a verificação
- Bugs de gravidade baixa devem ser corrigidos no produto no prazo de 175 dias após a verificação
Cronogramas de Resolução Estendida
Os cronogramas são válidos para todos os produtos autogerenciados da Atlassian. O produto autogerenciado é instalado pelo cliente nos sistemas gerenciados pelo cliente e inclui aplicativos móveis, de servidor, data center e desktop da Atlassian.
- Bugs de gravidade crítica, alta e média devem ser corrigidos no produto no prazo de 90 dias após serem relatados
- Bugs de gravidade baixa devem ser corrigidos no produto no prazo de 180 dias após serem relatados
Vulnerabilidades críticas
Quando uma vulnerabilidade de segurança crítica for descoberta pela Atlassian ou relatada por terceiros, a Atlassian vai:
- Lançar uma nova versão corrigida para a versão atual do produto afetado o mais rápido possível.
- Lançar uma versão de manutenção nova para uma versão anterior, da seguinte maneira:
Produto | Política de back port | Exemplo |
|---|---|---|
| Jira Software Server e Data Center Jira Core Server e Data Center Jira Service Management Server e Data Center (antes chamado Jira Service Desk) | Lançar novas atualizações de segurança para:
| Por exemplo, se uma atualização de segurança crítica for desenvolvida em 1º de janeiro de 2020, vai ser necessário produzir as seguintes novas versões de atualização de segurança:
|
| Confluence Server e Data Center | Lançar novas atualizações de segurança para:
| Por exemplo, se uma atualização de segurança crítica for desenvolvida em 1º de janeiro de 2020, vai ser necessário produzir as seguintes novas versões de atualização de segurança:
|
| Bitbucket Server e Data Center | Lançar novas atualizações de segurança para:
| Por exemplo, se uma atualização de segurança crítica for desenvolvida em 1º de janeiro de 2020, vai ser necessário produzir as seguintes novas versões de atualização de segurança:
O Bitbucket 6.3.0 foi lançado em 14 de maio de 2019, mais de 6 meses antes da data da correção. Se fosse designado como uma versão de Suporte de longo prazo, também seria produzida uma versão de correção de bug. |
| Versões de atualização de segurança serão lançadas apenas para as versões atual e anterior do função. | Se uma atualização de segurança crítica do Bamboo for desenvolvida em 1º de janeiro de 2020, as seguintes novas versões de atualização de segurança devem ser desenvolvidas:
|
For Crowd, Fisheye, and Crucible, we will provide a bug fix release for the latest feature release of the affected product.
É importante ter a atualização de segurança mais recente do produto instalada (é uma prática recomendada). Por exemplo, se você estiver usando o Jira Software 7.5.0, faça upgrade para o Jira Software 7.5.3 . Se uma atualização de segurança nova for lançada, como o Jira Software 7.5.4, a diferença entre as duas versões vai ser mínima (apenas a correção de segurança), facilitando a aplicação.
O processo de resolução de vulnerabilidades críticas não se aplica aos produtos Atlassian Cloud, pois esses serviços são sempre corrigidos pela Atlassian e os clientes não precisam fazer nada.
Product | Example |
|---|---|
| Jira Software | Example Jira Software 9.13.x because 9.13.0 is the latest feature release |
| Example Jira Software 9.12.x because 9.12.0 is the latest Long Term Support release | |
| Example Jira Software 9.4.x because 9.4.0 is the previous Long Term Support release | |
| Jira Service Management | Example Jira Service Management 5.13.x because 5.13.0 is the latest feature release |
| Example Jira Service Management 5.12.x because 5.12.0 is the latest Long Term Support release | |
| Example Jira Service Management 5.4.x because 5.4.0 is the second latest supported Long Term Support release | |
| Confluence | Example Confluence 8.7.x because 8.7.0 is the latest feature release |
| Example Confluence 8.5.x because 8.5.0 is the latest Long Term Support release | |
| Example Confluence 7.19.x because 7.19.0 is the second latest supported Long Term Support release | |
| Bitbucket | Example Bitbucket 8.17.x because 8.17.0 is the latest feature release |
| Example Bitbucket 8.9.x because 8.9.0 is the latest Long Term Support release | |
| Example Bitbucket 7.21.x because 7.21.0 is the second latest supported Long Term Support release | |
| Bamboo | Example Bamboo 9.5.x because 9.5.0 is the latest feature release |
| Example Bamboo 9.2.x because 9.2.0 is the latest Long Term Support release | |
| Crowd | Example Crowd 5.3.x because 5.3.0 is the latest feature release |
| Fisheye/Crucible | Example Fisheye/Crucible 4.8.x because 4.8.0 is the latest feature release |
No other product versions would receive new bug fixes.
Frequent upgrades ensure that your product instances are secure. It's a best practice to stay on the latest bug fix release of the latest feature release or LTS release of your product.
Vulnerabilidades não críticas
Quando um item de segurança de gravidade Alta, Média ou Baixa for descoberto, a Atlassian vai incluir uma correção nos Objetivos de Nível de Serviço relevantes listados no início deste documento. A correção também pode ser adaptada para versões de Suporte de longo prazo, se possível.
Você deve fazer o upgrade das instalações quando sair uma atualização de segurança nova para garantir que as correções de segurança mais recentes foram implementadas.
Outras informações
O nível de gravidade das vulnerabilidades é calculado com base nos níveis de gravidade dos itens de segurança.
As políticas da Atlassian são sempre avaliadas com base no retorno dos clientes, e eventuais atualizações e alterações são apresentadas nesta página.