Security
Als Open-Source-Software kann der Code von ILIAS von jedermann eingesehen und auf Sicherheitslücken überprüft werden. Sollten Sie eine vermeintliche Lücke entdeckt haben, bitten wir um eine vertrauliche Mitteilung an unsere Security-Mailingliste: security@ilias.de
Wie melde ich ein Sicherheitsproblem?
Sicherheitsprobleme müssen aus naheliegenden Gründen vertraulich behandelt werden. Nur so kann die Sicherheit der ILIAS-Installationen so weit wie möglich gewährleistet werden, bis das Problem behoben wurde.
Aus diesem Grund gibt es einen Prozess zur Fehlermeldung solcher Fehler.
Wichtig: Erstellen Sie KEINEN Eintrag in Mantis!
- Schreiben Sie eine Mail an security@ilias.de. Schildern Sie das Problem möglichst genau. Gehen Sie auf alle nötigen Schritte ein, um den Fehler zu reproduzieren. Bitte legen Sie den Vorfall nicht offen, so lange kein Update mit einer Lösung zur Verfügung gestellt wurde.
- Die Security-Gruppe wird einen Zuständigen benennen. Dieser wird versuchen, den Fehler zu reproduzieren.
- Der Sachbearbeiter wird sich im Namen des ILIAS open source e-Learning e.V. per E-Mail mit Ihnen in Verbindung setzen. Wir sind dankbar für jede weitere Hilfe bzw. Information, die Sie uns während des Analyse- und Fehlerbehebungsprozesses zur Verfügung stellen können.
- Je nach Schweregrad und Auswirkungen des vorliegenden Problems werden die Entwickler so schnell wie möglich eine neue Version erstellen oder die Standard-Roadmap beibehalten.
- Eine Bekanntmachung des Fixes erfolgt in der Regel eine Woche nachdem das Update veröffentlicht wurde auf dem Blog der Security-Gruppe.
- Optional: Wir sind sehr daran interessiert, Ihren Beitrag und Ihre Unterstützung für das Projekt angemessen zu würdigen. Wenn Sie möchten, können wir Ihren Namen und/oder den Namen Ihrer Einrichtung in unseren Versionshinweisen aufführen. Wir werden Ihren Namen oder den Namen Ihrer Einrichtung nicht ohne Ihre Zustimmung veröffentlichen.
Kann ich beim Fixen des Problems unterstützen?
Wir freuen uns sehr, wenn Lösungen bereits zusammen mit der ursprünglichen Meldung eingereicht werden. Hierfür gibt es einen offiziellen Prozess, der in unserer security.md (Englisch) beschrieben ist, um bestehende ILIAS-Installationen nicht unnötig zu gefährden. Falls Sie keinen Zugriff auf den internen Sicherheits-Tracker haben, übermitteln Sie die entsprechenden Patch-Dateien bitte über einen sicheren Kanal an den Zuständigen aus der Security-Gruppe.
Wie erhalte ich Benachrichtigungen zu Sicherheitsupdates?
Unsere Security-Gruppe hat einen Blog eingerichtet, in dem regelmäßig über wichtige Sicherheitsupdates informiert wird. Abonnieren Sie diesen Blog oben rechts über das Glocken-Symbol, um immer auf dem Laufenden zu bleiben:
Blogs
Welche Versionen werden mit Sicherheitsupdates versorgt?
Bug-Fixes werden immer für die aktuell maintainten ILIAS-Versionen bereitgestellt. Läuft eine ILIAS-Version aus, erhält sie noch für ein weiteres Jahr Sicherheitsupdates.
Unter Downloads & Releases können Sie einsehen, welche Versionen derzeit abgedeckt werden.