Beveiligingsbugfixbeleid
Het is een prioriteit van Atlassian om er voor te zorgen dat de systemen van onze klanten niet in gevaar komen vanwege kwetsbaarheden in Atlassian-producten.
Scope
Dit beleid beschrijft hoe en wanneer we kwetsbaarheden op het gebied van beveiliging in onze producten kunnen oplossen.
Security bug fix service level objectives (SLOs)
Atlassian bepaalt doelstellingen op serviceniveau voor het oplossen van beveiligingskwetsbaarheden op basis van de ernst van het beveiligingsniveau en het getroffen product. We hebben de volgende tijdskaders gedefinieerd voor het oplossen van beveiligingsissues in onze producten:
Versnelde tijdskaders voor resolutieoplossingen
These timeframes apply to:
- Alle cloudgebaseerde Atlassian-producten
- Any software or system managed by Atlassian
- Any software or system running on Atlassian infrastructure
- Jira Align, cloud and self-managed releases
Depending on the vulnerability level, we defined the following timelines for applying the fix in a product after verifying:
- Critical - 14 days
- High - 28 days
- Medium - 42 days
- Low - 175 days
Verlengde tijdskaders voor probleemoplossing
These timeframe objectives apply to all Data Center Atlassian products. Data center products are installed by customers on customer-managed systems and include Atlassian's Data Center and mobile apps.
- Critical, High, and Medium severity vulnerabilities to be fixed in a product within 90 days of being verified
- Low severity vulnerabilities to be fixed in a product within 180 days of being verified
Shared responsibility model
While Atlassian is committed to delivering secure products out of the box, we also rely on a shared responsibility model. This model requires customers to implement practices that continue beyond deployment and extend into operational phases. Some of these responsibilities include:
- Operating Atlassian software on private networks.
- Ensuring timely implementation of security fixes once they're released.
- Configuring Web Application Firewalls (WAF), VPNs, multi-factor authentication, and single sign-on.
- Implementing encryption and access controls.
- Performing regular backups.
- Conducting regular security audits.
Kritische kwetsbaarheden
Wanneer een kritieke kwetsbaarheid ontdekt wordt door Atlassian of gerapporteerd wordt door een externe partij, voert Atlassian de volgende acties uit:
- Voor cloudproducten leveren we zo snel mogelijk een nieuwe verbeterde release voor het betreffende product
- Voor zelfbeheerde producten doen we het volgende:
- Ship a bug fix release for the latest feature release of the affected product.
- Ship a new feature release for the affected product on the release schedule.
- een bugfixversie leveren voor alle ondersteunde LTS-releases van het betreffende product, in overeenstemming met het end-of-life-beleid van Atlassian-support.
Product | Beleid vorige versies | Voorbeeld |
|---|---|---|
| Jira Software Server en Data Center Jira Server and Data Center Jira Service Management Server and Data Center (voorheen bekend als Jira Service Desk) | Nieuwe bugfixreleases uitbrengen voor:
| Als bijvoorbeeld een kritische bugfix wordt ontwikkeld op 1 januari 2020, moeten de volgende nieuwe bugfixreleases volgen:
|
| Confluence Server en Data Center | Nieuwe bugfixreleases uitbrengen voor:
| Als bijvoorbeeld een kritische bugfix wordt ontwikkeld op 1 januari 2020, moeten de volgende nieuwe bugfixreleases volgen:
|
| Bitbucket Server en Data Center | Nieuwe bugfixreleases uitbrengen voor:
| Als bijvoorbeeld een kritische bugfix wordt ontwikkeld op 1 januari 2020, moeten de volgende nieuwe bugfixreleases volgen:
Bitbucket 6.3.0 is uitgebracht op 14 mei 2019, meer dan 6 maanden voor de datum van de fix. Als het is aangeduid als een release met lange termijn-support, is ook een bugfixrelease gemaakt. |
| We releasen alleen nieuwe bugfixes voor de huidige en voorgaande functiereleaseversies. | Als bijvoorbeeld een oplossing voor een kritische beveiligingsbug voor Bamboo wordt ontwikkeld op 1 januari 2020, moeten de volgende nieuwe bugfixreleases volgen:
|
Voor Crowd, Fisheye en Crucible bieden we een bugfixrelease voor de nieuwste functierelease van het betreffende product.
Voorbeelden van kritieke oplossingen voor kwetsbaarheden voor zelfbeheerde producten:
Als een oplossing voor kritieke kwetsbaarheden ontwikkeld is op 1 februari 2024, dan staan hieronder voorbeelden van releases die de bugfix ontvangen:
Product | Voorbeeld |
|---|---|
| Jira Software | Voorbeeld Jira Software 9.13.x omdat 9.13.0 de nieuwste functierelease is |
| Voorbeeld Jira Software 9.12.x omdat 9.12.0 de nieuwste release met lange termijn-support is | |
| Voorbeeld Jira Software 9.4.x omdat 9.4.0 de vorige release met lange termijn-support is | |
| Jira Service Management | Voorbeeld Jira Service Management 5.13.x omdat 5.13.0 de nieuwste functierelease is |
| Voorbeeld Jira Service Management 5.12.x omdat 5.12.0 de nieuwste release met lange termijn-support is | |
| Voorbeeld Jira Service Management 5.4.x omdat 5.4.0 de op een na recentste ondersteunde release met lange termijn-support is | |
| Confluence | Voorbeeld Confluence 8.7.x omdat 8.7.0 de nieuwste functierelease is |
| Voorbeeld Confluence 8.5.x omdat 8.5.0 de nieuwste release met lange termijn-support is | |
| Voorbeeld Confluence 7.19.x omdat 7.19.0 de op een na recentste ondersteunde release met lange termijn-support is | |
| Bitbucket | Voorbeeld Bitbucket 8.17.x omdat 8.17.0 de nieuwste functierelease is |
| Voorbeeld Bitbucket 8.9.x omdat 8.9.0 de nieuwste release met lange termijn-support is | |
| Voorbeeld Bitbucket 7.21.x omdat 7.21.0 de op een na recentste ondersteunde release met lange termijn-support is | |
| Bamboo | Voorbeeld Bamboo 9.5.x omdat 9.5.0 de nieuwste functierelease is |
| Voorbeeld Bamboo 9.2.x omdat 9.2.0 de nieuwste release met lange termijn-support is | |
| Crowd | Voorbeeld Crowd 5.3.x omdat 5.3.0 de nieuwste functierelease is |
| Fisheye/Crucible | Voorbeeld Fisheye/Crucible 4.8.x omdat 4.8.0 de nieuwste functierelease is |
Andere productversies krijgen geen nieuwe bugfixes.
Regelmatige upgrades zorgen ervoor dat je productinstallaties veilig zijn. Het is aanbevolen om op de hoogte te blijven van de nieuwste bugfixreleases van de nieuwste functierelease of LTS-release van je product.
Niet-kritische kwetsbaarheden
When a security issue of High, Medium, or Low severity is discovered, Atlassian will aim to release a fix within the service level objectives listed at the beginning of this document. If feasible, the fix may also be backported to Long-Term Support releases. The feasibility of backporting is influenced by a variety of factors, including software dependencies, architectural modifications, and compatibility issues, among others.
To ensure your installations contain the latest security fixes, upgrade them whenever a bug fix release becomes available.
Overige informatie
Het ernstniveau van kwetsbaarheden wordt berekend op basis van Ernstniveaus voor beveiligingsissues.
We'll continuously evaluate our policies based on customer feedback and provide any updates or changes on this page.