Richtlinie zur Offenlegung von Sicherheitslücken
Die Ugreen Group Limited (nachfolgend „wir“ oder „Ugreen“) legt als Hersteller von NAS-Produkten größten Wert auf die Sicherheit ihrer Produkte und ihres Geschäfts und ist sich der Bedeutung von Datenschutz und Datensicherheit bewusst. Die Behebung von Sicherheitslücken und die Verbesserung der Geschäftssicherheit erfordern die Zusammenarbeit aller Beteiligten. Sollten Sie bei der Nutzung unserer NAS-Dienste eine potenzielle Sicherheitslücke entdecken oder vermuten, bitten wir Sie, uns diese gemäß dieser Richtlinie zur Meldung von Sicherheitslücken so schnell wie möglich mitzuteilen. Wir versichern Ihnen, dass wir über spezialisierte Mitarbeiter verfügen, die die gemeldeten Probleme verfolgen, analysieren und beheben und Ihnen zeitnah antworten werden.
1. Feedback- und Verarbeitungsprozess für Schwachstellen
[Feedback zur Verwundbarkeit]
Wenn Sie der Meinung sind, dass NAS-Produkte Schwachstellen oder Sicherheitsvorfälle aufweisen, die gemeldet werden müssen, füllen Sie bitte das folgende Formular aus: Formular zur Meldung von Sicherheitslücken.
[Prozess zur Behandlung von Schwachstellen]
Schritt 1: Der Melder muss detaillierte Informationen über die Sicherheitslücke bereitstellen.
Schritt 2: Ugreen prüft und verifiziert die erhaltenen Schwachstelleninformationen und wertet sie aus.
Schritt 3: Beheben Sie die Sicherheitslücke und überprüfen Sie die Reparatur der NAS-Produkte.
Schritt 4: Veröffentlichen Sie eine neue Version des NAS-Produkts für Updates.
Schritt 5: Dem Reporter die Ergebnisse der Bearbeitung mitteilen.
Schritt 6: Überwachen Sie die Stabilität des NAS-Produkts nach dem Update.
[Phase der Schwachstellenanalyse]
1. Der Bericht wird innerhalb eines Werktages nach Eingang bestätigt und eine erste Bewertung durchgeführt.
2. Innerhalb von 3 Werktagen wird die Bewertung abgeschlossen sein und die Schwachstelle behoben oder ein Sanierungsplan entwickelt werden.
[Fehlerbehebung] & Abschlussphase]
1. Kritische Sicherheitslücken werden innerhalb von 3 Werktagen nach Abschluss der Bewertung behoben.
2. Schwachstellen mit hohem Risiko werden innerhalb von 7 Werktagen nach Abschluss der Bewertung behoben.
3. Schwachstellen mit mittlerem Risiko werden innerhalb von 30 Arbeitstagen nach Abschluss der Bewertung behoben.
4. Schwachstellen mit geringem Risiko werden innerhalb von 60 Arbeitstagen nach Abschluss der Bewertung behoben.
5. Manche Sicherheitslücken sind durch Umgebungs- oder Hardwarebeschränkungen bedingt, und die endgültige Reparaturzeit hängt von der jeweiligen Situation ab.
Für schwerwiegende oder gravierende Sicherheitslücken wird ein separates Notfallbulletin herausgegeben.
2. Standards für die Bewertung von Schwachstellen
Je nach Schadensauswirkung werden die Schwachstellen in vier Stufen eingeteilt: schwerwiegend, hohes Risiko, mittleres Risiko und geringes Risiko. risk.When Wir erhalten einen Schwachstellenbericht und ergreifen intern, unter Bezugnahme auf ISO/IEC 30111, eine Reihe von Maßnahmen, um die Schwachstelle zu beheben. Alle gemeldeten Schwachstellen werden gemäß den Kriterien des Common Vulnerability Scoring System (CVSS) 3.1 bewertet.
[Kritische Schwachstellen]
1. Schwachstellen im Zusammenhang mit dem direkten Fernzugriff auf Systemberechtigungen (Serverberechtigungen, Clientberechtigungen, Smart Devices), einschließlich, aber nicht beschränkt auf die Ausführung beliebigen Codes, die Ausführung beliebiger Befehle, das Hochladen und die Nutzung.
2. Das Kernsystem weist logische Designfehler auf, darunter, aber nicht beschränkt auf die Möglichkeit, Kontopasswörter ohne jegliche Schutzmaßnahmen zu ändern, sowie die Möglichkeit, sich in Konten einzuloggen usw.
3. Dies führt unmittelbar zu schwerwiegenden Sicherheitslücken im Online-Geschäftssystem, die zum Informationsleck führen können, einschließlich, aber nicht beschränkt auf SQL-Injection-Schwachstellen in der Kerndatenbank.
4. Mobile Endgeräte: Sicherheitslücke zur Remotecodeausführung, die ohne Interaktion eine große Anzahl von Benutzern direkt betreffen kann.
5. Geräteseitig: Fernzugriff auf Geräteausführungsberechtigungen (wie das Herunterladen von Daten anderer NAS-Benutzer, Fernzugriff auf Geräte usw.) in der Internetumgebung; es besteht keine Sicherheitslücke in der interaktiven Fernbefehlsausführung in der Internetumgebung.
【 Hohes Risiko 】
1. Schwachstellen, die direkt zum Auslaufen sensibler Informationen auf Online-Servern führen, einschließlich, aber nicht beschränkt auf das Auslaufen des Quellcodes des Kernsystems, das Herunterladen sensibler Serverprotokolldateien usw.
2. Die Schwachstelle besteht darin, dass das Kernsystem die Identität anderer nutzen kann, um alle Funktionen auszuführen. Es handelt sich um eine wichtige oder sensible Schwachstelle des Kernsystems, die einen unbefugten Betrieb ermöglicht.
3. Der unbefugte Zugriff auf die Managementplattform und die Nutzung von Administratorfunktionen, einschließlich, aber nicht beschränkt auf die Anmeldung an sensible Administratorkonten im Hintergrund, die Aktivität der relevanten Plattform, die Benutzerbasis, die funktionale Bedeutung und die Sensibilität der Benutzerinformationen, werden als Kriterien für die Bewertung von Schwachstellen mit hohem Risiko betrachtet.
4. Hohes Risiko durch Informationslecks. Dies umfasst unter anderem das Auslaufen sensibler Daten, die direkt ausgenutzt werden können, sowie Sicherheitslücken, die zum Zugriff auf große Mengen an Benutzeridentitätsinformationen führen können.
5. SSRF-Schwachstellen mit Echos, die Zugriff auf das Ugreen-Intranet ermöglichen.
6. Mobile Endgeräte: Anwendungen von Drittanbietern nutzen mobile Clientfunktionen anwendungsübergreifend, um risikoreiche Operationen durchzuführen (wie das Lesen und Schreiben von Dateien, das Lesen und Schreiben von SMS sowie das Lesen und Schreiben von Clientdaten) und ein hohes Risiko für den Verlust sensibler Informationen zu schaffen.
7. Gerät: Erlangt Ausführungsberechtigungen (z. B. zum Herunterladen von Daten anderer NAS-Benutzer oder zum Fernzugriff auf Geräte) von der Quelle in der Nähe oder aus dem LAN. Es besteht keine Sicherheitslücke zur interaktiven Ausführung von Fernbefehlen auf der Quelle in der Nähe oder aus dem LAN.
8. Gerät: Schwachstellen, die aus der Ferne einen dauerhaften Dienstausfall auf Geräten verursachen, einschließlich, aber nicht beschränkt auf Fernangriffe auf Systemgeräte (die Geräte können nicht mehr verwendet werden, werden vollständig und dauerhaft beschädigt oder das gesamte System muss neu geschrieben werden), und die Angriffe erlauben keinen physischen Kontakt mit den Geräten und müssen schnell in Chargen repliziert werden können.
【Mittleres Risiko】
1. Gewöhnliche Informationslecks, einschließlich, aber nicht beschränkt auf Klartext-Speicherpasswörter von mobilen Clients, die Server- oder Datenbankinformationen enthalten, Quellcode-Komprimierungspakete zum Herunterladen.
2. Logische Designfehler des Systems, wie beispielsweise Zahlungslücken.
3. Schwachstellen aufgrund von Mängeln im Authentifizierungsmechanismus, einschließlich, aber nicht beschränkt auf die Möglichkeit, sensible Captchas per Brute-Force-Angriff zu knacken, fehlende Captchas auf der Anmeldeoberfläche usw.
4. SSRF-Schwachstelle ohne Echo.
5. Schwachstellen, die eine Interaktion erfordern, um Benutzeridentitätsinformationen zu erhalten, einschließlich, aber nicht beschränkt auf CSRF für sensible Operationen, Storage XSS, JSONP-Hijacking für sensible Informationen usw.
6. Remote Denial-of-Service-Schwachstelle, die bestimmte Funktionen einer Online-Anwendung deaktivieren kann (es muss nachgewiesen werden, dass sie auch andere Benutzer betrifft).
7. Eine Schwachstelle, die dazu führt, dass ein intelligentes Gerät den Dienst verweigert. Beispielsweise kann ein Systemgerät einem lokal initiierten, permanenten Denial-of-Service-Angriff ausgesetzt sein (das Gerät ist nicht mehr nutzbar: vollständig und dauerhaft beschädigt oder das gesamte Betriebssystem muss neu geschrieben werden), oder es kann zu einem temporären Denial-of-Service-Angriff durch Fernangriffe (Fern-Suspendierung oder -Neustart) kommen, wobei sich der Angriff schnell und in großen Mengen replizieren lassen muss.
8. Eine Schwachstelle, die es gewöhnlichen Geschäftssystemen ermöglicht, die Identitäten anderer Personen zu nutzen, um alle funktionalen Operationen durchzuführen, die über ihre Befugnisse hinausgehen.
【Geringe Risikogefährdung】
1. Schwachstellen, die bei Phishing-Angriffen ausgenutzt werden können, einschließlich, aber nicht beschränkt auf URL-Umleitungsschwachstellen.
2. Logikdesignfehler mit geringem Risiko.
3. Geringfügige Sicherheitslücken, die zu Informationslecks führen können, einschließlich, aber nicht beschränkt auf Pfadlecks, .git-Dateilecks und serverseitige Geschäftsprotokollinhalte.
4. Schwachstellen, die für Phishing oder Hacking ausgenutzt werden können, einschließlich, aber nicht beschränkt auf beliebige URL-Anpassungen und reflektierende XSS-Schwachstellen.
5. Mobile Endgeräte: Lokale Dienstverweigerung (einschließlich, aber nicht beschränkt auf Dienstverweigerung aufgrund von Berechtigungen von Android-Komponenten, die nicht von Drittanbietern stammen), geringfügiger Informationsverlust (der nur einzelne Benutzer betrifft) usw.
6. Eine Sicherheitslücke, die dazu führt, dass ein Gerät vorübergehend den Dienst verweigert. Dies umfasst unter anderem temporäre Denial-of-Service-Angriffslücken, die durch lokale Angriffe verursacht werden (die Geräte müssen auf die Werkseinstellungen zurückgesetzt werden).
【Das Problem ignorieren】
1. Fehlerprobleme, die nicht mit der Sicherheit zusammenhängen, einschließlich, aber nicht beschränkt auf langsames Öffnen von Webseiten, unübersichtliches Design usw.
2. Der eingereichte Bericht ist zu einfach und kann anhand des Inhalts des Berichts nicht reproduziert werden, einschließlich, aber nicht beschränkt auf die Schwachstellen, die auch nach wiederholter Kommunikation mit dem Schwachstellenprüfer nicht reproduziert werden können.
3. Nicht ausnutzbare oder harmlose Meldungen, einschließlich, aber nicht beschränkt auf Hoax-CSRF (keine wirklichen Auswirkungen auf die Benutzer), lokale Denial-of-Service-Angriffe, die andere nicht beeinträchtigen können, Self-XSS, PDF-XSS, Lecks nicht sensibler Informationen (Intranet-IP, Domainname), Mailbomben usw.
4. Praktisch kein Quellcodeleck.
5.Das Sicherheitsproblem liegt entweder im Nicht-Ugreen-Modul des Hardwareprodukts oder es handelt sich um einen Defekt der Hardware selbst.
6. Sicherheitsprobleme, die Ugreen proaktiv offenlegt oder die extern offengelegt wurden.
7. Sicherheitsprobleme bei Produkten, Apps oder Webanwendungen, die nicht mehr gewartet werden.
8. Schwachstellen, die Ugreen intern selbst bestätigen kann und die bereits behoben wurden.
9. Dienstverweigerung aufgrund fehlender Berechtigungen von drei Android-Komponenten.
Alle Informationen, die Ugreen über Schwachstellen in NAS-Produkten zur Verfügung gestellt werden, einschließlich aller Informationen in Produktschwachstellenberichten, werden Eigentum von Ugreen sein und von Ugreen verwendet.
Ugreen behält sich das Recht vor, diese Richtlinie jederzeit zu ändern.