Política de solución de errores de seguridad
Para Atlassian, es una prioridad garantizar que los sistemas de los clientes no se vean afectados por la explotación de vulnerabilidades en los productos de Atlassian.
Ámbito de aplicación
Esta política describe cómo y cuándo resolvemos los errores de vulnerabilidad de seguridad de nuestros productos.
Security bug fix service level objectives (SLOs)
Atlassian establece objetivos de nivel de servicio para corregir las vulnerabilidades de seguridad en función del nivel de gravedad de seguridad y del producto afectado. Hemos definido los siguientes objetivos para solucionar las incidencias de seguridad de nuestros productos:
Objetivos de resolución acelerados
These timeframes apply to:
- Todos los productos de Atlassian basados en la nube.
- Any software or system managed by Atlassian
- Any software or system running on Atlassian infrastructure
- Jira Align, cloud and self-managed releases
Depending on the vulnerability level, we defined the following timelines for applying the fix in a product after verifying:
- Critical - 14 days
- High - 28 days
- Medium - 42 days
- Low - 175 days
Plazos de resolución ampliados
These timeframe objectives apply to all Data Center Atlassian products. Data center products are installed by customers on customer-managed systems and include Atlassian's Data Center and mobile apps.
- Critical, High, and Medium severity vulnerabilities to be fixed in a product within 90 days of being verified
- Low severity vulnerabilities to be fixed in a product within 180 days of being verified
Shared responsibility model
While Atlassian is committed to delivering secure products out of the box, we also rely on a shared responsibility model. This model requires customers to implement practices that continue beyond deployment and extend into operational phases. Some of these responsibilities include:
- Operating Atlassian software on private networks.
- Ensuring timely implementation of security fixes once they're released.
- Configuring Web Application Firewalls (WAF), VPNs, multi-factor authentication, and single sign-on.
- Implementing encryption and access controls.
- Performing regular backups.
- Conducting regular security audits.
Vulnerabilidades críticas
Cuando Atlassian descubre una vulnerabilidad de gravedad crítica o un tercero la notifica, Atlassian llevará a cabo las siguientes acciones:
- Para los productos en la nube, lanzaremos una nueva publicación corregida del producto afectado lo antes posible.
- Para los productos autogestionados:
- Ship a bug fix release for the latest feature release of the affected product.
- Ship a new feature release for the affected product on the release schedule.
- Lanzaremos una publicación de corrección de errores para todas las publicaciones de LTS compatibles del producto afectado, de acuerdo con la política de fin del ciclo de vida del soporte de Atlassian.
Producto | Política de parches multifunción | Ejemplo |
|---|---|---|
| Jira Software Server y Data Center Jira Server and Data Center Jira Service Management Server y Data Center (anteriormente, Jira Service Desk) | Emite publicaciones de corrección de errores nuevas para:
| Por ejemplo, si se desarrolla una corrección de errores de seguridad críticos el 1 de enero de 2020, se deberán producir las siguientes publicaciones nuevas de corrección de errores:
|
| Confluence Server y Data Center | Emite publicaciones de corrección de errores nuevas para:
| Por ejemplo, si se desarrolla una corrección de errores de seguridad críticos el 1 de enero de 2020, se deberán producir las siguientes publicaciones nuevas de corrección de errores:
|
| Bitbucket Server y Data Center | Emite publicaciones de corrección de errores nuevas para:
| Por ejemplo, si se desarrolla una corrección de errores de seguridad críticos el 1 de enero de 2020, se deberán producir las siguientes publicaciones nuevas de corrección de errores:
Bitbucket 6.3.0 se publicó el 14 de mayo de 2019, más de 6 meses antes de la fecha de la corrección. Si se designó como publicación de soporte a largo plazo, también se producirá un lanzamiento de solución de errores. |
| Solo lanzaremos publicaciones de corrección de errores nuevas para la versión de publicación de funciones actual y la anterior. | Por ejemplo, si se desarrolla una corrección de errores de seguridad críticos para Bamboo el 1 de enero de 2020, se deberán producir las siguientes publicaciones nuevas de corrección de errores:
|
Para Crowd, Fisheye y Crucible, proporcionaremos una publicación de corrección de errores para la publicación de funciones más reciente del producto afectado.
Ejemplos de correcciones de vulnerabilidades críticas para productos autogestionados:
Si se desarrolla una corrección de vulnerabilidades de gravedad crítica el 01/02/2024, las siguientes son publicaciones de ejemplo que recibirían la corrección de errores:
Producto | Ejemplo |
|---|---|
| Jira Software | Ejemplo Jira Software 9.13.x porque 9.13.0 es la publicación de funciones más reciente |
| Ejemplo Jira Software 9.12.x porque 9.12.0 es la publicación de soporte a largo plazo más reciente | |
| Ejemplo Jira Software 9.4.x porque 9.4.0 es la publicación de soporte a largo plazo anterior | |
| Jira Service Management | Ejemplo Jira Service Management 5.13.x porque 5.13.0 es la publicación de funciones más reciente |
| Ejemplo Jira Service Management 5.12.x porque 5.12.0 es la publicación de soporte a largo plazo más reciente | |
| Ejemplo Jira Service Management 5.4.x porque 5.4.0 es la segunda publicación de soporte a largo plazo compatible más reciente | |
| Confluence | Ejemplo Confluence 8.7.x porque 8.7.0 es la publicación de funciones más reciente |
| Ejemplo Confluence 8.5.x porque 8.5.0 es la publicación de soporte a largo plazo más reciente | |
| Ejemplo Confluence 7.19.x porque 7.19.0 es la segunda publicación de soporte a largo plazo compatible más reciente | |
| Bitbucket | Ejemplo Bitbucket 8.17.x porque 8.17.0 es la publicación de funciones más reciente |
| Ejemplo Bitbucket 8.9.x porque 8.9.0 es la publicación de soporte a largo plazo más reciente | |
| Ejemplo Bitbucket 7.21.x porque 7.21.0 es la segunda publicación de soporte a largo plazo compatible más reciente | |
| Bamboo | Ejemplo Bamboo 9.5.x porque 9.5.0 es la publicación de funciones más reciente |
| Ejemplo Bamboo 9.2.x porque 9.2.0 es la publicación de soporte a largo plazo más reciente | |
| Crowd | Ejemplo Crowd 5.3.x porque 5.3.0 es la publicación de funciones más reciente |
| Fisheye/Crucible | Ejemplo Fisheye/Crucible 4.8.x porque 4.8.0 es la publicación de funciones más reciente |
Ninguna otra versión del producto recibiría nuevas correcciones de errores.
Las mejoras frecuentes garantizan la seguridad de las instancias de tus productos. Es recomendable seguir con la publicación de corrección de errores más reciente de la última publicación de funciones o LTS de tu producto.
Vulnerabilidades no críticas
When a security issue of High, Medium, or Low severity is discovered, Atlassian will aim to release a fix within the service level objectives listed at the beginning of this document. If feasible, the fix may also be backported to Long-Term Support releases. The feasibility of backporting is influenced by a variety of factors, including software dependencies, architectural modifications, and compatibility issues, among others.
To ensure your installations contain the latest security fixes, upgrade them whenever a bug fix release becomes available.
Otra información
El nivel de gravedad de las vulnerabilidades se calcula en función de los niveles de gravedad de las incidencias de seguridad.
We'll continuously evaluate our policies based on customer feedback and provide any updates or changes on this page.