2 报告漏洞

Yocto 项目与 OpenEmbedded 是由社区维护的开源项目，被大量产品采用。 它们集成了多个其他开源项目，因此需要同时处理内部安全问题 （由这两个项目维护的代码）和外部安全问题（由其他项目或组织维护的代码）， 并遵循相应的安全实践。

本手册汇总整个生态系统的安全信息，包括如何报告潜在安全问题、 YP 安全团队如何运作，以及如何向相关代码贡献修改。 它同时面向安全研究人员和 YP 开发者。

2 如何报告潜在安全漏洞？

如果要报告已经公开的问题，例如已经发布 CVE 编号的问题， 请使用 安全 Bugzilla。

如果问题尚未公开，或者情况紧急，请发送邮件至 security AT yoctoproject DOT org， 尽可能说明受影响的层或软件模块、配方及其版本，并在有条件时附上示例代码。 该邮件列表由 Yocto 项目安全团队监控。

每个层的仓库根目录下可能有 SECURITY.md，其中会说明该层特有的漏洞报告方式。 补丁的提交方式和提交地址通常记录在 README.md 中。 如果这是你首次向 Yocto 项目／OpenEmbedded 提交补丁， 可以先阅读贡献者手册的 “准备提交修改”一节。

2 接受安全修复的维护分支

稳定分支的策略与维护方式见 发布流程 文档。

版本发布页面 列出了 Yocto 项目的全部版本， 并区分当前版本与历史版本。历史版本不再主动维护安全补丁， 但对于严重问题，仍可能接受经过充分测试的补丁。

2 Yocto 项目的安全讨论

项目设有两个安全相关的邮件地址或邮件列表：

• 公开邮件列表：yocto [dash] security [at] yoctoproject[dot] org

  任何人都可以订阅这个公开列表，用于讨论已公开的安全问题、补丁以及安全相关工作。 包括订阅方式在内的更多信息见 yocto-security 邮件列表说明页面。

  新主题需要经过版主批准才能发布，以免误将保密安全报告发到公开列表。

• Yocto 项目安全团队：security [at] yoctoproject [dot] org

  该地址用于报告尚未公开的潜在漏洞。 发送到这里的邮件会转发给 Yocto 项目安全团队成员。

2 发现安全漏洞后应该做什么

如果在 Yocto 项目构建或使用的开源软件中发现安全缺陷，例如崩溃、信息泄露， 或其他一旦被利用就可能影响安全的问题，请报告给 Yocto 项目安全团队。 如果更愿意直接联系上游，也请抄送 Yocto 项目的安全团队。 如果认为信息高度敏感，请采用安全的报告方式：加密邮件并发送到私有列表。 这样可以避免在应对措施或修复准备好之前，漏洞利用细节就被泄露和利用。