docs/SECURITY

   1                                   _   _ ____  _
   2                               ___| | | |  _ \| |
   3                              / __| | | | |_) | |
   4                             | (__| |_| |  _ <| |___
   5                              \___|\___/|_| \_\_____|
   6
   7 CURL SECURITY FOR DEVELOPERS
   8
   9 This document is intended to provide guidance to curl developers on how
  10 security vulnerabilities should be handled.
  11
  12 PUBLISHING INFORMATION
  13
  14 All known and public curl or libcurl related vulnerabilities are listed at
  15 http://curl.haxx.se/docs/security.html
  16
  17 Security vulnerabilities should not be entered in the project's public bug
  18 tracker unless the necessary configuration is in place to limit access to the
  19 issue to only the reporter and the project's security team.
  20
  21 VULNERABILITY HANDLING
  22
  23 The typical process for handling a new security vulnerability is as follows.
  24
  25 No information should be made public about a vulnerability until it is
  26 formally announced at the end of this process. That means, for example that a
  27 bug tracker entry must NOT be created to track the issue since that will make
  28 the issue public and it should not be discussed on any of the project's public
  29 mailing lists. Also messages associated with any commits should not make
  30 any reference to the security nature of the commit if done prior to the public
  31 announcement.
  32
  33 - The person discovering the issue, the reporter, reports the vulnerability
  34   privately to curl-security@haxx.se. That's an email alias that reaches a
  35   handful of selected and trusted people.
  36
  37 - Messages that do not relate to the reporting or managing of an undisclosed
  38   security vulnerability in curl or libcurl are ignored and no further action
  39   is required.
  40
  41 - A person in the security team sends an e-mail to the original reporter to
  42   acknowledge the report.
  43
  44 - The security team investigates the report and either rejects it or accepts
  45   it.
  46
  47 - If the report is rejected, the team writes to the reporter to explain why.
  48
  49 - If the report is accepted, the team writes to the reporter to let him/her
  50   know it is accepted and that they are working on a fix.
  51
  52 - The security team discusses the problem, works out a fix, considers the
  53   impact of the problem and suggests a release schedule. This discussion
  54   should involve the reporter as much as possible.
  55
  56 - The release of the information should be "as soon as possible" and is most
  57   often synced with an upcoming release that contains the fix. If the
  58   reporter, or anyone else, thinks the next planned release is too far away
  59   then a separate earlier release for security reasons should be considered.
  60
  61 - Write a security advisory draft about the problem that explains what the
  62   problem is, its impact, which versions it affects, solutions or
  63   workarounds, when the release is out and make sure to credit all
  64   contributors properly.
  65
  66 - Request a CVE number from distros@openwall.org[1] when also informing and
  67   preparing them for the upcoming public security vulnerability announcement -
  68   attach the advisory draft for information. Note that 'distros' won't accept
  69   an embargo longer than 19 days.
  70
  71 - Update the "security advisory" with the CVE number.
  72
  73 - The security team commits the fix in a private branch. The commit message
  74   should ideally contain the CVE number. This fix is usually also distributed
  75   to the 'distros' mailing list to allow them to use the fix prior to the
  76   public announcement.
  77
  78 - At the day of the next release, the private branch is merged into the master
  79   branch and pushed. Once pushed, the information is accessible to the public
  80   and the actual release should follow suit immediately afterwards.
  81
  82 - The project team creates a release that includes the fix.
  83
  84 - The project team announces the release and the vulnerability to the world in
  85   the same manner we always announce releases. It gets sent to the
  86   curl-announce, curl-library and curl-users mailing lists.
  87
  88 - The security web page on the web site should get the new vulnerability
  89   mentioned.
  90
  91 [1] = http://oss-security.openwall.org/wiki/mailing-lists/distros