Signaler un problème de sécurité
Clients
MariaDB actuels MariaDB peuvent signaler un problème de sécurité en créant un dossier d'assistance sur le portail d'assistance client.
Non-clients
Les personnes qui ne sont pas clientes peuvent signaler un problème de sécurité en envoyant un e-mail à l'adressemariadb
MariaDB
Pour connaître la politique MariaDB en matière de signalement des problèmes de sécurité, veuillez consulter les « Procédures de signalementMariaDB ».
Détails du rapport
MariaDB que les signalements fournissent tous les détails relatifs au problème de sécurité afin que notre équipe de sécurité puisse valider et reproduire le problème.
Champ d'application
- Dans le champ d'application : produits logiciels et services développés par MariaDB , notamment (API, binaires, MariaDB Cloud)
- Hors champ d'application : services tiers, produits partenaires, sécurité physique, attaques par déni de service (DoS), ingénierie sociale
Afin de nous permettre de traiter efficacement votre signalement, veuillez fournir les informations suivantes :
- L'environnement (système d'exploitation, matériel et MariaDB , y compris les plugins et les moteurs de stockage).
- Le code concerné, accompagné de votre explication du comportement anormal.
- Détails de configuration, notamment les tables SQL, les requêtes et les actions réseau nécessaires pour reproduire le comportement.
- Dump de mémoire, traces de pile, journaux d'erreurs, dump de données, cas de test ayant échoué ou paquets réseau nécessaires au diagnostic ou à la reproduction de l'attaque.
- Code de validation de principe (PoC) permettant de déclencher ou d'exploiter avec succès la vulnérabilité dans au moins un scénario donné.
- Détails techniques relatifs à la reproduction, tels que :
- L'URL ou le point de terminaison concerné
- Les paramètres ou les données à envoyer
- Le type de requête (par exemple, GET, POST, PUT, DELETE, etc.)
- Les en-têtes ou le contexte d'authentification nécessaires pour reproduire le problème
- Paramètres de ligne de commande du fichier binaire/du paquet
- Logiciel ou service concerné
- Nom du module ou paramètre
- Vidéo illustrant la vulnérabilité
- Liste des exclusions
- Résultats d'un scanner automatisé sans PoC
- Attaques DoS/DDoS
- Ingénierie sociale
- En-têtes de sécurité manquants ne pouvant pas être exploités
- Auto-XSS
- Vulnérabilités connues
Les rapports de vulnérabilité doivent être rédigés de manière à permettre la reproduction du problème, à être facilement compréhensibles et à pouvoir être classés. Plus vous fournirez de détails, notamment des captures d'écran, des exemples de code ou de courtes vidéos, plus notre équipe sera en mesure de comprendre et de résoudre rapidement le problème.
Clause de « Safe Harbor »
MariaDB les recherches en matière de sécurité menées conformément à la présente politique constituent un comportement « autorisé » et n'engagera aucune poursuite judiciaire à l'encontre des chercheurs en sécurité qui :
- Agir de bonne foi et conformément à la présente politique ;
- Mener des recherches en matière de sécurité dans le cadre défini par la présente politique ;
- Il est interdit d'accéder à des données, de les modifier ou de les extraire au-delà de ce qui est strictement nécessaire pour démontrer l'existence d'une vulnérabilité. Si des données utilisateur sont détectées, le chercheur en sécurité doit immédiatement cesser ses activités et signaler ce fait ;
- Respecter toutes les lois en vigueur ;
- Ne pas causer de préjudice ni perturber MariaDB ou leurs utilisateurs (par exemple, par des attaques par déni de service) ; et
- Signalez les vulnérabilités de manière responsable et préservez la confidentialité jusqu'à ce que le problème soit résolu.
Tiers : veuillez noter que MariaDB autoriser aucune recherche sur les infrastructures de tiers (par exemple, les hébergeurs) et ne peut restreindre leurs droits légaux.
Notre engagement en matière de sécurité
À tous les clients et chercheurs en sécurité qui respectent la présente politique de signalement MariaDB , notre équipe de sécurité s'engage à :
- Nous vous répondrons dans les meilleurs délais et vous confirmerons la réception de votre signalement.
- Indiquez un délai prévisionnel pour la correction de cette vulnérabilité
- Informer la personne ayant signalé la vulnérabilité lorsque celle-ci a été corrigée
Nous prenons les problèmes de sécurité très au sérieux et nous nous efforcerons d'y répondre rapidement afin de corriger les failles de sécurité avérées.
Rémunération
Bien que nous saluions le travail accompli par les chercheurs indépendants en sécurité, nous n'offrons aucune rémunération en échange du signalement d'une faille de sécurité.