Kanał zgłoszenia
Wyślij zgłoszenie na security@relaypbx.com z tematem zaczynającym się od [SECURITY]. Podaj dotknięty produkt i wersję, warunki, kroki odtworzenia, wpływ, bezpieczny proof of concept i sposób kontaktu. Jeśli potrzebujesz szyfrowania, najpierw poproś o aktualny klucz lub bezpieczny kanał, nie wysyłając jeszcze wrażliwego materiału.
Zakres
Zakres obejmuje publiczne domeny RelayPBX, Identity, panel PBX, instalator, agenta aktualizacji, oficjalne obrazy i aplikacje. Systemy dostawców, urządzenia klientów i nieoficjalne wdrożenia nie są objęte, ale przekażemy zgłoszenie, jeśli możemy.
Bezpieczne badanie
- używaj własnego konta, tenanta i danych testowych;
- zatrzymaj test po pierwszym potwierdzeniu dostępu lub wpływu;
- nie pobieraj, modyfikuj ani ujawniaj danych innych osób;
- nie wykonuj DoS, masowego skanowania, social engineering, spamu, fizycznego ataku ani testu prawdziwych połączeń alarmowych;
- nie utrzymuj dostępu, nie instaluj backdoora i nie omijaj płatności poza minimalnym testem podatności;
- nie publikuj przed uzgodnionym terminem naprawy.
Dobra wiara
Jeżeli działasz w dobrej wierze, przestrzegasz tej polityki i prawa oraz unikasz szkody, RelayPBX nie będzie inicjować wobec Ciebie roszczeń za samo dozwolone badanie. Nie możemy udzielić immunitetu od prawa ani w imieniu osób trzecich. W razie wątpliwości zapytaj przed testem.
Nasz proces
Potwierdzamy odbiór docelowo w 2 dni robocze, wykonujemy wstępną ocenę w 5 dni roboczych i przekazujemy aktualizacje przy istotnej zmianie. Priorytet zależy od wpływu, możliwości wykorzystania i zasięgu. Możemy poprosić o dodatkowe dane, identyfikator CVE ustalić z odpowiednim CNA i zaproponować skoordynowany termin publikacji.
Uznanie i nagrody
Po naprawie możemy podziękować badaczowi publicznie za jego zgodą. Program 1.0 nie gwarantuje nagrody finansowej. Nie kupujemy podatności, danych ani dostępu uzyskanego niezgodnie z polityką.
Aktywny incydent lub dane
Jeśli zauważysz aktywny atak, sekret lub dane klienta, przerwij dostęp, nie kopiuj treści i oznacz wiadomość jako pilną. Podaj minimalny identyfikator oraz czas zdarzenia. Nie umieszczaj dowodu w publicznym zgłoszeniu, repozytorium, zwykłym zgłoszeniu do pomocy ani w mediach społecznościowych.