보안 문제 신고하기
고객
현재 MariaDB 고객 지원 포털에서 지원 요청을 생성하여 보안 문제를 신고할 수 있습니다.
비고객
비회원께서는mariadb 이메일을 보내 보안 관련 문제를 신고하실 수 있습니다.
MariaDB
보안 문제 신고에 관한 MariaDB 정책은 MariaDB 신고 절차’를 참조하시기 바랍니다.
보고 세부 정보
MariaDB 보안 팀이 해당 문제를 검증하고 재현할 수 있도록, 보안 문제 제보 시 해당 문제에 대한 상세한 내용을 모두 제공해 주실 것을 MariaDB .
범위
- 적용 범위: MariaDB 개발한 소프트웨어 제품 및 서비스(API, 바이너리, MariaDB Cloud 등)
- 적용 범위 외: 타사 서비스, 파트너 제품, 물리적 보안, DoS 공격, 사회공학적 기법
제보 내용을 효율적으로 처리할 수 있도록 다음 정보를 함께 기재해 주시기 바랍니다:
- 환경(운영 체제, 하드웨어, MariaDB (플러그인 및 스토리지 엔진 포함)).
- 문제가 발생한 코드와 해당 오류 현상에 대한 설명을 함께 첨부해 주세요.
- 해당 현상을 재현하는 데 필요한 SQL 테이블, 쿼리 및 네트워크 작업 등을 포함한 구성 세부 정보.
- 공격을 진단하거나 재현하는 데 필요한 코어 덤프, 스택 트레이스, 오류 로그, 데이터 덤프, 실패한 테스트 케이스 또는 네트워크 패킷.
- 주어진 시나리오 중 적어도 하나에서 해당 취약점을 성공적으로 유발하거나 악용하는 개념 증명(PoC) 코드.
- 다음과 같은 기술적 재현 세부 사항:
- 영향을 받은 구체적인 URL 또는 엔드포인트
- 전송할 매개변수 또는 페이로드
- 요청 유형 (예: GET, POST, PUT, DELETE 등)
- 이 문제를 재현하는 데 필요한 헤더나 인증 컨텍스트가 있다면
- Binary/Package 명령줄 매개변수
- 영향을 받는 소프트웨어 또는 서비스
- 모듈 이름 또는 매개변수
- 취약점을 보여주는 동영상
- 제외 목록
- PoC가 없는 자동 스캐너 검사 결과
- DoS/DDoS 공격
- 사회 공학
- 악용 가능성은 없으나 누락된 보안 헤더
- 자체 XSS
- 알려진 취약점
취약점 보고서는 재현이 가능하고, 이해하기 쉬우며, 분류가 용이하도록 작성되어야 합니다. 스크린샷, 샘플 코드 또는 짧은 동영상 등 세부 정보를 더 많이 제공해 주실수록, 저희 팀이 문제를 더 빠르게 파악하고 해결할 수 있습니다.
세이프 하버 조항
MariaDB 본 정책에 따라 수행된 보안 연구를 “승인된” 행위로 MariaDB , 다음의 조건을 충족하는 보안 연구자에 대해서는 법적 조치를 취하지 않습니다:
- 선의에 따라 본 정책에 부합하도록 행동해야 합니다;
- 본 정책에 정의된 범위 내에서 보안 연구를 수행하고;
- 취약점을 입증하는 데 엄격히 필요한 범위를 넘어 데이터를 열람, 수정 또는 유출해서는 안 됩니다. 사용자 데이터가 발견될 경우, 보안 연구원은 즉시 작업을 중단하고 이를 보고해야 합니다.
- 모든 관련 법규를 준수하고;
- MariaDB 사용자에게 피해나 혼란을 초래해서는 안 됩니다(예: DoS 공격); 그리고
- 취약점을 책임감 있게 보고하고, 문제가 해결될 때까지 기밀을 유지하십시오.
제3자: MariaDB 제3자 인프라(예: 호스팅 제공업체)에 대한 연구를 승인할 MariaDB , 해당 제3자의 법적 권리를 제한할 수도 없음을 양해해 주시기 바랍니다 .
당사의 보안 약속
본 MariaDB 보고 정책을 따르는 모든 고객 및 보안 연구자 여러분께, 당사 보안 팀은 다음을 약속드립니다:
- 신고를 접수했음을 알리고, 신속하게 답변해 드리겠습니다.
- 해당 취약점을 해결하는 데 소요될 것으로 예상되는 기간을 제시해 주십시오.
- 취약점이 수정되면 해당 문제를 신고한 사람에게 알리십시오
당사는 보안 문제를 중대하게 여기며, 확인된 보안 문제가 발생할 경우 이를 신속히 해결하기 위해 최선을 다하겠습니다.
보상
당사는 독립 보안 연구원들의 노고에 감사드리지만, 보안 취약점을 제보한 것에 대해서는 보상을 제공하지 않습니다.