سیاست افشای آسیب‌پذیری - VulnCheck

آخرین ویرایش در ۶ مارس ۲۰۲۶۲۰۲۴

سیاست افشای آسیب‌پذیری ما دو هدف دارد:

1. اطمینان از اینکه به فروشندگان زمان معقولی برای رسیدگی به مشکلات گزارش‌شده داده می‌شود.
2. ارائه جزئیات صادقانه، مفید و قابل اقدام درباره آسیب‌پذیری‌ها به جامعه امنیتی و کاربران تحت تأثیر.

ما معتقدیم که می‌توانیم این اهداف را از طریق افشای هماهنگ‌شده محقق کنیم. اجرای فرآیند افشای هماهنگ‌شده ما به شرح زیر است:

1. VulnCheck با فروشنده آسیب‌دیده تماس گرفته و جزئیات آسیب‌پذیری را ارائه می‌دهد و مهلت ۱۲۰ روزه برای رفع مشکلات یا انتشار مشاوره تعیین می‌کند.
2. VulnCheck ممکن است جزئیات آسیب‌پذیری را در اختیار مشتریان قرار دهد تا آن‌ها بتوانند اقدامات دفاعی انجام دهند در حالی که وصله رسمی در حال توسعه است.
3. VulnCheck به طور منظم با فروشنده در تماس خواهد بود تا تاریخ انتشار مشاوره‌های هماهنگ‌شده را هماهنگ کند.
4. در همان روزی که فروشنده وصله یا مشاوره‌ای منتشر می‌کند، VulnCheck مشاوره‌ای از طرف شخص ثالث درباره آسیب‌پذیری منتشر خواهد کرد.
5. اگر مهلت ۱۲۰ روزه بدون انتشار وصله یا مشاوره از سوی فروشنده سپری شود، VulnCheck مشاوره‌ای غیرهماهنگ از طرف شخص ثالث درباره آسیب‌پذیری منتشر خواهد کرد.

برخی نکات جزئی در فرآیند ما وجود دارد:

1. هیچ تمدید مهلتی داده نخواهد شد.
2. VulnCheck هر وصله منتشرشده‌ای را به عنوان افشای عمومی در نظر خواهد گرفت.
3. ارتباطات منحصراً از طریق ایمیل انجام خواهد شد.
4. VulnCheck در برنامه‌های افشای آسیب‌پذیری که افشای عمومی را ممنوع می‌کنند یا به هر نحوی سعی در کنترل کار VulnCheck دارند، شرکت نخواهد کرد.
5. اگر فروشنده‌ای اعلام کند که قصد ندارد آسیب‌پذیری گزارش‌شده را اصلاح کند یا در مورد آن مشاوره‌ای صادر کند، ممکن است جدول زمانی افشای هماهنگ‌شده دیگر اعمال نشود.

یک نکته مهم در فرآیند ما نیز وجود دارد:

1. اگر VulnCheck تشخیص دهد که آسیب‌پذیری در حال بهره‌برداری در دنیای واقعی است، مهلت از ۱۲۰ روز به ۷ روز تغییر می‌کند. هدف این است که مزیت مهاجم را از بین ببریم و اطمینان حاصل کنیم که مدافعان از وضعیت مطلع هستند.

VulnCheck حق دارد در صورت نیاز از فرآیند مشخص‌شده منحرف شود یا آن را تغییر دهد.