Kubernetes 安全和信息披露

    加入 kubernets-announce 组，以获取关于安全性和主要 API 公告的电子邮件。

    您也可以使用订阅上述的 RSS 反馈。

    我们非常感谢向 Kubernetes 开源社区报告漏洞的安全研究人员和用户。 所有的报告都由社区志愿者进行彻底调查。

    您还可以通过电子邮件向私有 security@kubernetes.io 列表发送电子邮件，邮件中应该包含所需的详细信息。 您可以使用产品安全团队成员的 GPG 密钥加密您的电子邮件到此列表。 使用 GPG 加密不需要公开。

    • 您认为在 Kubernetes 中发现了一个潜在的安全漏洞
    • 您认为您在 Kubernetes 依赖的另一个项目中发现了一个漏洞
      • 对于具有漏洞报告和披露流程的项目，请直接在该项目处报告

    我什么时候不应该报告漏洞？

    • 您需要帮助调整 Kubernetes 组件的安全性
    • 您的问题与安全无关

    每个报告在 3 个工作日内由产品安全团队成员确认和分析。这将启动安全发布过程。

    与产品安全团队共享的任何漏洞信息都保留在 Kubernetes 项目中，除非有必要修复该问题，否则不会传播到其他项目。

    公开披露日期由 Kubernetes 产品安全团队和 bug 提交者协商。我们倾向于在用户缓解措施可用时尽快完全披露该 bug。

    当 bug 或其修复还没有被完全理解，解决方案没有经过良好的测试，或者为了处理供应商协调问题时，延迟披露是合理的。

    信息披露的时间范围从即时（尤其是已经公开的）到几周。作为一个基本的约定，我们希望报告日期到披露日期的间隔是 7 天。在设置披露日期时，Kubernetes 产品安全团队拥有最终决定权。