1 .. SPDX-License-Identifier: GPL-2.0 2 .. include:: ../disclaimer-sp.rst 3 4 :Original: Documentation/process/security-bugs.rst 5 :Translator: Avadhut Naik <avadhut.naik@amd.com> 6 7 Errores de seguridad 8 ==================== 9 10 Los desarrolladores del kernel de Linux se toman la seguridad muy en 11 serio. Como tal, nos gustaría saber cuándo se encuentra un error de 12 seguridad para que pueda ser corregido y divulgado lo más rápido posible. 13 Por favor, informe sobre los errores de seguridad al equipo de seguridad 14 del kernel de Linux. 15 16 Contacto 17 -------- 18 19 El equipo de seguridad del kernel de Linux puede ser contactado por correo 20 electrónico en <security@kernel.org>. Esta es una lista privada de 21 oficiales de seguridad que ayudarán a verificar el informe del error y 22 desarrollarán y publicarán una corrección. Si ya tiene una corrección, por 23 favor, inclúyala con su informe, ya que eso puede acelerar considerablemente 24 el proceso. Es posible que el equipo de seguridad traiga ayuda adicional 25 de mantenedores del área para comprender y corregir la vulnerabilidad de 26 seguridad. 27 28 Como ocurre con cualquier error, cuanta más información se proporcione, 29 más fácil será diagnosticarlo y corregirlo. Por favor, revise el 30 procedimiento descrito en 'Documentation/admin-guide/reporting-issues.rst' 31 si no tiene claro que información es útil. Cualquier código de explotación 32 es muy útil y no será divulgado sin el consentimiento del "reportero" (el 33 que envia el error) a menos que ya se haya hecho público. 34 35 Por favor, envíe correos electrónicos en texto plano sin archivos 36 adjuntos cuando sea posible. Es mucho más difícil tener una discusión 37 citada en contexto sobre un tema complejo si todos los detalles están 38 ocultos en archivos adjuntos. Piense en ello como un 39 :doc:`envío de parche regular <submitting-patches>` (incluso si no tiene 40 un parche todavía) describa el problema y el impacto, enumere los pasos 41 de reproducción, y sígalo con una solución propuesta, todo en texto plano. 42 43 44 Divulgación e información embargada 45 ----------------------------------- 46 47 La lista de seguridad no es un canal de divulgación. Para eso, ver 48 Coordinación debajo. Una vez que se ha desarrollado una solución robusta, 49 comienza el proceso de lanzamiento. Las soluciones para errores conocidos 50 públicamente se lanzan inmediatamente. 51 52 Aunque nuestra preferencia es lanzar soluciones para errores no divulgados 53 públicamente tan pronto como estén disponibles, esto puede postponerse a 54 petición del reportero o una parte afectada por hasta 7 días calendario 55 desde el inicio del proceso de lanzamiento, con una extensión excepcional 56 a 14 días de calendario si se acuerda que la criticalidad del error requiere 57 más tiempo. La única razón válida para aplazar la publicación de una 58 solución es para acomodar la logística de QA y los despliegues a gran 59 escala que requieren coordinación de lanzamiento. 60 61 Si bien la información embargada puede compartirse con personas de 62 confianza para desarrollar una solución, dicha información no se publicará 63 junto con la solución o en cualquier otro canal de divulgación sin el 64 permiso del reportero. Esto incluye, pero no se limita al informe original 65 del error y las discusiones de seguimiento (si las hay), exploits, 66 información sobre CVE o la identidad del reportero. 67 68 En otras palabras, nuestro único interés es solucionar los errores. Toda 69 otra información presentada a la lista de seguridad y cualquier discusión 70 de seguimiento del informe se tratan confidencialmente incluso después de 71 que se haya levantado el embargo, en perpetuidad. 72 73 Coordinación con otros grupos 74 ----------------------------- 75 76 El equipo de seguridad del kernel recomienda encarecidamente que los 77 reporteros de posibles problemas de seguridad NUNCA contacten la lista 78 de correo “linux-distros” hasta DESPUES de discutirlo con el equipo de 79 seguridad del kernel. No Cc: ambas listas a la vez. Puede ponerse en 80 contacto con la lista de correo linux-distros después de que se haya 81 acordado una solución y comprenda completamente los requisitos que al 82 hacerlo le impondrá a usted y la comunidad del kernel. 83 84 Las diferentes listas tienen diferentes objetivos y las reglas de 85 linux-distros no contribuyen en realidad a solucionar ningún problema de 86 seguridad potencial. 87 88 Asignación de CVE 89 ----------------- 90 91 El equipo de seguridad no asigna CVEs, ni los requerimos para informes o 92 correcciones, ya que esto puede complicar innecesariamente el proceso y 93 puede retrasar el manejo de errores. Si un reportero desea que se le 94 asigne un identificador CVE, debe buscar uno por sí mismo, por ejemplo, 95 poniéndose en contacto directamente con MITRE. Sin embargo, en ningún 96 caso se retrasará la inclusión de un parche para esperar a que llegue un 97 identificador CVE. 98 99 Acuerdos de no divulgación 100 -------------------------- 101 102 El equipo de seguridad del kernel de Linux no es un organismo formal y, 103 por lo tanto, no puede firmar cualquier acuerdo de no divulgación.
Linux® is a registered trademark of Linus Torvalds in the United States and other countries.
TOMOYO® is a registered trademark of NTT DATA CORPORATION.