보안 버그 수정 정책
Atlassian에서는 제품의 취약점을 악용하여 고객 시스템에 손상이 발생하지 않도록 보장하는 것을 최우선으로 여깁니다.
범위
이 정책은 Atlassian이 제품의 보안 취약성을 해결할 수 있는 방법과 시기를 설명합니다.
Security bug fix service level objectives (SLOs)
Atlassian은 보안 심각도 수준 및 영향을 받는 제품에 따라 보안 취약성을 해결하기 위한 서비스 수준 목표를 설정합니다. Atlassian은 제품의 보안 문제를 해결하기 위해 다음과 같은 기간 목표를 정의했습니다.
가속화된 해결 목표
These timeframes apply to:
- 모든 클라우드 기반 Atlassian 제품
- Any software or system managed by Atlassian
- Any software or system running on Atlassian infrastructure
- Jira Align, cloud and self-managed releases
Depending on the vulnerability level, we defined the following timelines for applying the fix in a product after verifying:
- Critical - 14 days
- High - 28 days
- Medium - 42 days
- Low - 175 days
연장된 해결 기간
These timeframe objectives apply to all Data Center Atlassian products. Data center products are installed by customers on customer-managed systems and include Atlassian's Data Center and mobile apps.
- Critical, High, and Medium severity vulnerabilities to be fixed in a product within 90 days of being verified
- Low severity vulnerabilities to be fixed in a product within 180 days of being verified
Shared responsibility model
While Atlassian is committed to delivering secure products out of the box, we also rely on a shared responsibility model. This model requires customers to implement practices that continue beyond deployment and extend into operational phases. Some of these responsibilities include:
- Operating Atlassian software on private networks.
- Ensuring timely implementation of security fixes once they're released.
- Configuring Web Application Firewalls (WAF), VPNs, multi-factor authentication, and single sign-on.
- Implementing encryption and access controls.
- Performing regular backups.
- Conducting regular security audits.
중요 취약성
중요 취약성을 Atlassian이 발견하거나 타사가 보고하는 경우 Atlassian은 다음과 같은 조치를 수행합니다.
- Cloud 제품의 경우 영향을 받은 제품에 대해 수정된 새 릴리스를 최대한 빨리 제공합니다
- 자체 관리 제품의 경우 Atlassian은 다음과 같이 합니다.
- Ship a bug fix release for the latest feature release of the affected product.
- Ship a new feature release for the affected product on the release schedule.
- Atlassian Support 수명 종료 정책에 따라 영향을 받은 제품의 지원되는 모든 LTS 릴리스에 대한 버그 수정 릴리스를 제공
제품 | 백 포트 정책 | 예 |
|---|---|---|
| Jira Software Server 및 Data Center Jira Server and Data Center Jira Service Management Server 및 Data Center(이전의 Jira Service Desk) | 다음에 대해 새로운 버그 수정 릴리스 배포:
| 예를 들어, 2020년 1월 1일에 중요 보안 버그 수정을 개발한 경우 다음과 같은 새로운 버그 수정 릴리스를 제작해야 합니다.
|
| Confluence Server 및 Data Center | 다음에 대해 새로운 버그 수정 릴리스 배포:
| 예를 들어, 2020년 1월 1일에 중요 보안 버그 수정을 개발한 경우 다음과 같은 새로운 버그 수정 릴리스를 제작해야 합니다.
|
| Bitbucket Server 및 Data Center | 다음에 대해 새로운 버그 수정 릴리스 배포:
| 예를 들어, 2020년 1월 1일에 중요 보안 버그 수정을 개발한 경우 다음과 같은 새로운 버그 수정 릴리스를 제작해야 합니다.
Bitbucket 6.3.0은 수정이 릴리스된 날보다 6개월 이상 앞선 2019년 5월 14일에 릴리스되었습니다. 이 릴리스는 장기 지원 릴리스로 지정되었으며, 버그 수정 릴리스도 제작됩니다. |
| Atlassian은 현재 및 이전 기능 릴리스 버전에 대한 새로운 버그 수정 릴리스만 배포합니다. | 예를 들어, 2020년 1월 1일에 Bamboo를 위한 중요 보안 버그 수정을 개발한 경우 다음과 같은 새로운 버그 수정 릴리스를 제작해야 합니다.
|
Crowd, Fisheye 및 Crucible의 경우 영향을 받은 제품의 최신 기능 릴리스에 대한 버그 수정 릴리스를 제공합니다.
다음은 자체 관리 제품의 중요 취약성 수정 예시입니다.
2024년 2월 1일에 중요 취약성 수정을 개발한 경우 버그 수정을 받아야 하는 릴리스의 예시는 다음과 같습니다.
제품 | 예 |
|---|---|
| Jira Software | 예 Jira Software 9.13.x(최신 기능 릴리스가 9.13.0) |
| 예 Jira Software 9.12.x(최신 장기 지원 릴리스가 9.12.0) | |
| 예 Jira Software 9.4.x(이전 장기 지원 릴리스가 9.4.0) | |
| Jira Service Management | 예 Jira Service Management 5.13.x(최신 기능 릴리스가 5.13.0) |
| 예 Jira Service Management 5.12.x(최신 장기 지원 릴리스가 5.12.0) | |
| 예 Jira Service Management 5.4.x(지원되는 두 번째 최신 장기 지원 릴리스가 5.4.0) | |
| Confluence | 예 Confluence 8.7.x(최신 기능 릴리스가 8.7.0) |
| 예 Confluence 8.5.x(최신 장기 지원 릴리스가 8.5.0) | |
| 예 Confluence 7.19.x (지원되는 두 번째 최신 장기 지원 릴리스가 7.19.0) | |
| Bitbucket | 예 Bitbucket 8.17.x(최신 기능 릴리스가 8.17.0) |
| 예 Bitbucket 8.9.x(최신 장기 지원 릴리스가 8.9.0) | |
| 예 Bitbucket 7.21.x (지원되는 두 번째 최신 장기 지원 릴리스가 7.21.0) | |
| Bamboo | 예 Bamboo 9.5.x(최신 기능 릴리스가 9.5.0) |
| 예 Bamboo 9.2.x(최신 장기 지원 릴리스가 9.2.0) | |
| Crowd | 예 Crowd 5.3.x (최신 기능 릴리스가 5.3.0) |
| Fisheye/Crucible | 예 Fisheye/Crucible 4.8.x(최신 기능 릴리스가 4.8.0) |
다른 제품 버전에는 새로운 버그 수정이 제공되지 않습니다.
잦은 업그레이드는 제품 인스턴스의 보안을 보장합니다. 제품의 최신 기능 릴리스 또는 LTS 릴리스의 최신 버그 수정 릴리스를 유지하는 것이 가장 좋습니다.
중요하지 않은 취약성
When a security issue of High, Medium, or Low severity is discovered, Atlassian will aim to release a fix within the service level objectives listed at the beginning of this document. If feasible, the fix may also be backported to Long-Term Support releases. The feasibility of backporting is influenced by a variety of factors, including software dependencies, architectural modifications, and compatibility issues, among others.
To ensure your installations contain the latest security fixes, upgrade them whenever a bug fix release becomes available.
기타 정보
취약성의 심각도 수준은 보안 문제의 심각도 수준을 기반으로 계산됩니다.
We'll continuously evaluate our policies based on customer feedback and provide any updates or changes on this page.