Cosa includere

• Nome del prodotto o tipo di prodotto
• Versione del prodotto, numero di build, modello, versione firmware, SKU, numero di parte (P/N) o numero di serie, a seconda dei casi
• Piattaforma, ambiente o contesto di distribuzione
• Descrizione della potenziale vulnerabilità
• Passaggi per riprodursi
• Prova di concetto o dettagli sull'exploit, se disponibili
• Impatto osservato o potenziale
• Schermate, registri, tracce o altre prove pertinenti
• ID CWE, ID CVE, punteggio CVSS o vettore CVSS, se noto
• Le tue informazioni di contatto preferite per le comunicazioni di follow-up

Non includere password, token di accesso, dati personali non necessari, file eseguibili o codice dannoso.

Divulgazione coordinata

EP Cube supporta un approccio di divulgazione coordinato. Si prega di non divulgare pubblicamente una vulnerabilità prima che abbiano avuto luogo la correzione e la pubblicazione coordinata, salvo diverso accordo scritto.

Le tempistiche di divulgazione possono variare in base alla gravità e alla sfruttabilità, all'impatto del prodotto e al rischio per l'utente, alla disponibilità di soluzioni correttive, alle esigenze di coordinamento della catena di fornitura e ad altri fattori specifici del caso.

Segnalazione anonima

Possono essere accettate segnalazioni anonime. Tieni presente che la segnalazione anonima può limitare la nostra capacità di richiedere chiarimenti, fornire aggiornamenti o coordinare la pubblicazione.

Per qualificarsi ai sensi di questa politica i ricercatori dovrebbero

• Agire in buona fede e con l’obiettivo di migliorare la sicurezza.
• Evita violazioni della privacy, interruzioni del servizio e distruzione dei dati.
• Astenersi da ingegneria sociale, phishing, spam o attacchi fisici.
• Utilizzare solo i passaggi minimi ragionevolmente necessari per dimostrare il problema.
• Segnalare tempestivamente la vulnerabilità attraverso i canali ufficiali.
• Evitare la divulgazione pubblica prima della bonifica e della pubblicazione coordinata, salvo diverso accordo.

Condotta fuori ambito

• Accesso, modifica o eliminazione di dati che non ti appartengono.
• Interruzione intenzionale del servizio o attività di negazione del servizio.
• Sfruttare le vulnerabilità oltre quanto ragionevolmente necessario per dimostrare il problema.
• Persistenza, movimento laterale o escalation di privilegi nei sistemi di produzione.
• Attacchi fisici o manomissioni hardware se non espressamente autorizzati per iscritto.
• Qualsiasi attività che violi le leggi o i regolamenti applicabili.