Policy di correzione dei bug di sicurezza
Per Atlassian è una priorità assicurarsi che i sistemi dei clienti non possano essere compromessi sfruttando le vulnerabilità presenti nei suoi prodotti.
Ambito
Questa policy descrive la tempistica e la modalità di risoluzione delle vulnerabilità di sicurezza nei nostri prodotti.
Security bug fix service level objectives (SLOs)
Atlassian stabilisce obiettivi del livello di servizio per risolvere le vulnerabilità di sicurezza in base al livello di gravità per la sicurezza e al prodotto interessato. Abbiamo definito i seguenti obiettivi di tempistiche per la correzione dei problemi di sicurezza nei nostri prodotti:
Accelerazione degli obiettivi di risoluzione
These timeframes apply to:
- Tutti i prodotti Atlassian basati sul cloud
- Any software or system managed by Atlassian
- Any software or system running on Atlassian infrastructure
- Jira Align, cloud and self-managed releases
Depending on the vulnerability level, we defined the following timelines for applying the fix in a product after verifying:
- Critical - 14 days
- High - 28 days
- Medium - 42 days
- Low - 175 days
Tempistiche di risoluzione estese
These timeframe objectives apply to all Data Center Atlassian products. Data center products are installed by customers on customer-managed systems and include Atlassian's Data Center and mobile apps.
- Critical, High, and Medium severity vulnerabilities to be fixed in a product within 90 days of being verified
- Low severity vulnerabilities to be fixed in a product within 180 days of being verified
Shared responsibility model
While Atlassian is committed to delivering secure products out of the box, we also rely on a shared responsibility model. This model requires customers to implement practices that continue beyond deployment and extend into operational phases. Some of these responsibilities include:
- Operating Atlassian software on private networks.
- Ensuring timely implementation of security fixes once they're released.
- Configuring Web Application Firewalls (WAF), VPNs, multi-factor authentication, and single sign-on.
- Implementing encryption and access controls.
- Performing regular backups.
- Conducting regular security audits.
Vulnerabilità critiche
Quando una vulnerabilità critica viene rilevata da Atlassian o segnalata da una terza parte, Atlassian eseguirà le seguenti azioni:
- Per i prodotti cloud, rilasceremo il prima possibile una nuova versione corretta per il prodotto interessato.
- Per i prodotti autogestiti, faremo quanto segue:
- Ship a bug fix release for the latest feature release of the affected product.
- Ship a new feature release for the affected product on the release schedule.
- Rilasceremo una versione di correzione dei bug per tutte le versioni del supporto a lungo termine (LTS) supportate del prodotto interessato, in conformità con la policy di fine vita dell'Assistenza Atlassian.
Prodotto | Policy sul backport | Esempio |
|---|---|---|
| Jira Software Server e Data Center Jira Server and Data Center Jira Service Management Server e Data Center (in precedenza Jira Service Desk) | Pubblicazione di nuovi rilasci di correzioni di bug per:
| Ad esempio, se il 1° gennaio 2020 viene sviluppata una correzione critica di un bug della sicurezza, devono essere prodotti i nuovi rilasci di correzioni di bug riportati di seguito:
|
| Confluence Server e Data Center | Pubblicazione di nuovi rilasci di correzioni di bug per:
| Ad esempio, se il 1° gennaio 2020 viene sviluppata una correzione critica di un bug della sicurezza, devono essere prodotti i nuovi rilasci di correzioni di bug riportati di seguito:
|
| Bitbucket Server e Data Center | Pubblicazione di nuovi rilasci di correzioni di bug per:
| Ad esempio, se il 1° gennaio 2020 viene sviluppata una correzione critica di un bug della sicurezza, devono essere prodotti i nuovi rilasci di correzioni di bug riportati di seguito:
Bitbucket 6.3.0 è stata rilasciata il 14 maggio 2019, oltre 6 mesi prima della data della correzione. Se fosse stata designata come rilascio di supporto a lungo termine, sarebbe stato fornito anche un rilascio di correzione dei bug. |
| Pubblicheremo nuovi rilasci di correzioni di bug solo per la versione di rilascio della funzione attuale e precedente. | Ad esempio, se il 1° gennaio 2020 viene sviluppata una correzione critica di un bug della sicurezza per Bamboo, devono essere forniti i nuovi rilasci di correzioni di bug riportati di seguito:
|
Per Crowd, Fisheye e Crucible, forniremo un rilascio di correzione dei bug per l'ultimo rilascio di funzioni del prodotto interessato.
Esempi di correzioni di vulnerabilità critiche per i prodotti autogestiti:
Se la correzione di una vulnerabilità critica è stata sviluppata in data 1° febbraio 2024, di seguito sono riportati esempi di rilasci che riceverebbero la correzione dei bug:
Prodotto | Esempio |
|---|---|
| Jira Software | Esempio Jira Software 9.13.x perché 9.13.0 è l'ultimo rilascio di funzioni |
| Esempio Jira Software 9.12.x perché 9.12.0 è l'ultimo rilascio di supporto a lungo termine | |
| Esempio Jira Software 9.4.x perché 9.4.0 è il rilascio di supporto a lungo termine precedente | |
| Jira Service Management | Esempio Jira Service Management 5.13.x perché 5.13.0 è l'ultimo rilascio di funzioni |
| Esempio Jira Service Management 5.12.x perché 5.12.0 è l'ultimo rilascio di supporto a lungo termine | |
| Esempio Jira Service Management 5.4.x perché 5.4.0 è il secondo ultimo rilascio di supporto a lungo termine supportato | |
| Confluence | Esempio Confluence 8.7.x perché 8.7.0 è l'ultimo rilascio di funzioni |
| Esempio Confluence 8.5.x perché 8.5.0 è l'ultimo rilascio di supporto a lungo termine | |
| Esempio Confluence 7.19.x perché 7.19.0 è il secondo ultimo rilascio di supporto a lungo termine supportato | |
| Bitbucket | Esempio Bitbucket 8.17.x perché 8.17.0 è l'ultimo rilascio di funzioni |
| Esempio Bitbucket 8.9.x perché 8.9.0 è l'ultimo rilascio di supporto a lungo termine | |
| Esempio Bitbucket 7.21.x perché 7.21.0 è il secondo ultimo rilascio di supporto a lungo termine supportato | |
| Bamboo | Esempio Bamboo 9.5.x perché 9.5.0 è l'ultimo rilascio di funzioni |
| Esempio Bamboo 9.2.x perché 9.2.0 è l'ultimo rilascio di supporto a lungo termine | |
| Crowd | Esempio Crowd 5.3.x perché 5.3.0 è l'ultimo rilascio di funzioni |
| Fisheye/Crucible | Esempio Fisheye/Crucible 4.8.x perché 4.8.0 è l'ultimo rilascio di funzioni |
Nessun'altra versione del prodotto riceverebbe nuove correzioni dei bug.
Gli upgrade frequenti garantiscono la sicurezza delle istanze del tuo prodotto. Come best practice, suggeriamo di rimanere sull'ultima versione di correzione dei bug dell'ultimo rilascio di funzioni o dell'ultimo rilascio del supporto a lungo termine (LTS) del tuo prodotto.
Vulnerabilità non critiche
When a security issue of High, Medium, or Low severity is discovered, Atlassian will aim to release a fix within the service level objectives listed at the beginning of this document. If feasible, the fix may also be backported to Long-Term Support releases. The feasibility of backporting is influenced by a variety of factors, including software dependencies, architectural modifications, and compatibility issues, among others.
To ensure your installations contain the latest security fixes, upgrade them whenever a bug fix release becomes available.
Altre informazioni
Il livello di gravità delle vulnerabilità viene calcolato in base ai livelli di gravità per i ticket di sicurezza.
We'll continuously evaluate our policies based on customer feedback and provide any updates or changes on this page.