공개 리포지토리가있는 오픈 소스 프로젝트는 안전하게보고되었지만 아직 공개되지 않은 보안 취약점을 해결하는 풀 요청 (PR)을 어떻게 가장 잘 처리해야합니까?
수백 명의 기고자와 함께 오픈 소스 프로젝트에 참여하고 있습니다. 정기적으로 예정된 월별 릴리스의 일환으로 1 년에 여러 번 보안 공지 및 취약점을 게시합니다. 패치 된 버전을 사용할 수있을 때까지 취약점에 대한 정보를 게시하지 않습니다. 프로젝트 관리 시스템 (JIRA)에서 보안 문제를 안전하게 관리 할 수 있습니다. 그러나 보안 취약점이 GitHub에 제출 될 때이를 해결하는 PR을 가릴 수있는 좋은 방법은 없습니다. 우리는 사람들이 이러한 수정 프로그램을 출시하기 전에 찾아 제로 데이 익스플로잇을 생성 할 수 있을지 걱정합니다.
우리는 주요 리포지토리를 포크하는 개인 저장소를 사용하는 것을 고려했지만 현재 검토 및 QA 워크 플로 중 많은 부분이 PR에서 발생합니다. 워크 플로를 보안 팀 전용 개인 저장소로 이동하면 수정 프로그램이 공개 될 때 타르볼을 생성하고 sourceforge에 게시하는 데 걸리는 시간까지 창을 줄이므로 크게 개선됩니다. 또한 PR을 공개 베타에 병합하는 것을 피해야 할 것입니다.
그 방향으로 가기 전에 오픈 소스가있는 오픈 소스 프로젝트에서 시험판 보안 버그 수정 패치를 처리하는 가장 좋은 방법이 무엇인지 알고 싶습니다. GitHub와 다른 플랫폼을 사용하여 문제를 더 잘 해결할 수 있다면 GitLab으로의 마이그레이션을 평가하고 있다고 언급해야합니다.