Ein Sicherheitsproblem melden
Kunden
Aktuelle MariaDB können ein Sicherheitsproblem melden, indem sie im Kundensupport-Portal einen Supportfall erstellen.
Nichtkunden
Nichtkunden können Sicherheitsbedenken per E-Mail anmariadb melden.
MariaDB
Die Richtlinien MariaDB zur Meldung von Sicherheitsbedenken finden Sie unter MariaDB Reporting Procedures“.
Details zur Berichterstattung
MariaDB , dass in den Meldungen alle Einzelheiten zum Sicherheitsproblem angegeben werden, damit unser Sicherheitsteam das Problem überprüfen und nachstellen kann.
Geltungsbereich
- Im Geltungsbereich: Von MariaDB entwickelte Softwareprodukte und -dienstleistungen, darunter (APIs, Binärdateien, MariaDB Cloud)
- Nicht im Leistungsumfang enthalten: Dienste von Drittanbietern, Partnerprodukte, physische Sicherheit, DoS-Angriffe, Social Engineering
Damit wir Ihre Meldung effizient bearbeiten können, geben Sie bitte folgende Informationen an:
- Die Umgebung (Betriebssystem, Hardware und MariaDB , einschließlich Plugins und Speicher-Engines).
- Der betroffene Code sowie Ihre Erläuterung des fehlerhaften Verhaltens.
- Konfigurationsdetails, einschließlich SQL-Tabellen, Abfragen und Netzwerkaktionen, die zur Reproduktion des Verhaltens erforderlich sind.
- Core-Dumps, Stack-Traces, Fehlerprotokolle, Daten-Dumps, fehlgeschlagene Testfälle oder Netzwerkpakete, die zur Diagnose oder Reproduktion des Angriffs erforderlich sind.
- Proof-of-Concept-Code (PoC), der die Sicherheitslücke in mindestens einem vorgegebenen Szenario erfolgreich auslöst bzw. ausnutzt.
- Technische Angaben zur Vervielfältigung, wie zum Beispiel:
- Die konkret betroffene URL oder der betroffene Endpunkt
- Die zu sendenden Parameter oder Nutzdaten
- Die Art der Anfrage (z. B. GET, POST, PUT, DELETE usw.)
- Alle Header oder Authentifizierungskontexte, die zur Reproduktion des Problems erforderlich sind
- Befehlszeilenparameter für Binärdateien/Pakete
- Betroffene Software oder Dienstleistung
- Modulname oder Parameter
- Video, das die Sicherheitslücke veranschaulicht
- Ausschlussliste
- Automatisierte Scanner-Befunde ohne PoC
- DoS-/DDoS-Angriffe
- Social Engineering
- Fehlende Sicherheits-Header, die nicht ausgenutzt werden können
- Selbst-XSS
- Bekannte Sicherheitslücken
Sicherheitslücken müssen so dokumentiert werden, dass sie reproduzierbar, leicht verständlich und klassifizierbar sind. Je mehr Details Sie bereitstellen – einschließlich Screenshots, Beispielcode oder kurzer Videos –, desto schneller kann unser Team das Problem nachvollziehen und beheben.
Safe-Harbor-Klausel
MariaDB Sicherheitsforschung, die im Einklang mit dieser Richtlinie durchgeführt wird, als „zulässiges“ Verhalten und wird keine rechtlichen Schritte gegen Sicherheitsforscher einleiten, die:
- Handeln Sie nach Treu und Glauben und in Übereinstimmung mit dieser Richtlinie;
- Sicherheitsforschung im Rahmen dieser Richtlinie durchführen;
- Greifen Sie nicht auf Daten zu, ändern Sie diese nicht und leiten Sie sie nicht weiter, sofern dies nicht unbedingt erforderlich ist, um eine Sicherheitslücke nachzuweisen. Sollten Benutzerdaten auftauchen, muss der Sicherheitsforscher die Untersuchung unverzüglich einstellen und dies melden;
- Beachten Sie alle geltenden Gesetze;
- Fügen Sie MariaDB oder -Nutzern keinen Schaden zu und verursachen Sie keine Störungen (z. B. DoS-Angriffe); und
- Melden Sie Sicherheitslücken verantwortungsbewusst und wahren Sie die Vertraulichkeit, bis das Problem behoben ist.
Dritte: Bitte haben Sie Verständnis dafür, dass MariaDB Forschung auf der Infrastruktur Dritter (z. B. Hosting-Anbieter) genehmigen und deren gesetzliche Rechte nicht einschränken MariaDB .
Unser Engagement für Sicherheit
Unser Sicherheitsteam verpflichtet sich gegenüber allen Kunden und Sicherheitsforschern, die diese Richtlinie zur Meldung MariaDB befolgen, zu Folgendem:
- Reagieren Sie zeitnah und bestätigen Sie den Eingang Ihrer Meldung.
- Geben Sie einen voraussichtlichen Zeitrahmen für die Behebung der Sicherheitslücke an
- Benachrichtigen Sie die Person, die den Sicherheitsfehler gemeldet hat, sobald dieser behoben wurde
Wir nehmen Sicherheitsprobleme ernst und werden uns bemühen, nachweisbare Sicherheitsprobleme umgehend zu beheben.
Entschädigung
Wir wissen die Arbeit unabhängiger Sicherheitsforscher zwar zu schätzen, bieten jedoch keine Vergütung für die Meldung einer Sicherheitslücke an.