Politica di divulgazione delle vulnerabilità

Ugreen Group Limited (di seguito denominata "Noi" o "Ugreen"), in qualità di produttore di prodotti NAS, attribuisce grande importanza alla sicurezza dei propri prodotti e della propria attività, e riconosce l'importanza della privacy e della sicurezza dei dati. La gestione di ogni vulnerabilità di sicurezza e il miglioramento della sicurezza aziendale non possono prescindere dalla collaborazione di tutte le parti coinvolte. Qualora doveste scoprire o ritenere di aver scoperto una potenziale vulnerabilità di sicurezza durante l'utilizzo dei Servizi NAS, vi invitiamo a comunicarcelo il prima possibile, in conformità con la presente Informativa sulla divulgazione delle vulnerabilità. Garantiamo che il nostro personale dedicato si occuperà di seguire, analizzare e risolvere i problemi segnalati da ciascun utente, e che forniremo una risposta tempestiva.

1. Processo di feedback e gestione delle vulnerabilità

[Feedback sulla vulnerabilità]

Se ritieni che i prodotti NAS presentino vulnerabilità o incidenti di sicurezza che devono essere segnalati, compila il seguente modulo. modulo di segnalazione di vulnerabilità.

[Processo di trattamento delle vulnerabilità]

Fase 1: Chi segnala la vulnerabilità deve fornire informazioni dettagliate.

Fase 2: Ugreen controlla e verifica le informazioni sulla vulnerabilità ricevute e le valuta.

Passaggio 3: Correggere la vulnerabilità e verificare la riparazione dei prodotti NAS.

Passaggio 4: rilasciare una nuova versione del prodotto NAS per gli aggiornamenti.

Passaggio 5: Rispondere al reporter con i risultati dell'elaborazione.

Passaggio 6: Monitorare la stabilità del prodotto NAS dopo l'aggiornamento.

[Fase di revisione delle vulnerabilità]

1. La segnalazione verrà confermata entro 1 giorno lavorativo dal ricevimento e verrà effettuata una valutazione iniziale.

2. Entro 3 giorni lavorativi la valutazione sarà completata e la vulnerabilità verrà risolta oppure verrà elaborato un piano di risanamento.

[Correzione bug] & Fase di completamento]

1. Le vulnerabilità critiche verranno corrette entro 3 giorni lavorativi dal completamento della valutazione.

2. Le vulnerabilità ad alto rischio verranno corrette entro 7 giorni lavorativi dal completamento della valutazione.

3. Le vulnerabilità a rischio medio saranno risolte entro 30 giorni lavorativi dal completamento della valutazione.

4. Le vulnerabilità a basso rischio verranno corrette entro 60 giorni lavorativi dal completamento della valutazione.

5. Alcune vulnerabilità sono soggette a limitazioni ambientali o hardware e i tempi di riparazione definitivi dipenderanno dalla situazione reale.

Per le vulnerabilità di grave o significativo impatto viene emesso un bollettino di sicurezza di emergenza separato.

2. Standard di valutazione della vulnerabilità

In base al grado di danno causato dalle vulnerabilità, queste si dividono in quattro livelli: grave, ad alto rischio, a rischio medio e a basso rischio. risk.When Riceviamo una segnalazione di vulnerabilità e adottiamo una serie di misure per risolverla internamente, facendo riferimento alla norma ISO/IEC 30111. Tutte le vulnerabilità segnalate vengono valutate secondo i criteri del Common Vulnerability Scoring System (CVSS) 3.1.

[Vulnerabilità critiche]

1. Vulnerabilità di accesso diretto remoto alle autorizzazioni di sistema (autorizzazioni del server, autorizzazioni del client, dispositivi intelligenti), tra cui, a titolo esemplificativo ma non esaustivo, l'esecuzione di codice arbitrario, l'esecuzione di comandi arbitrari, il caricamento e l'utilizzo.

2. Il sistema aziendale principale presenta difetti di progettazione logica, tra cui, a titolo esemplificativo ma non esaustivo, la possibilità di modificare la password di qualsiasi account senza alcuna restrizione di protezione, di accedere a qualsiasi account, ecc.

3. Ciò comporta direttamente gravi vulnerabilità di fuga di informazioni nel sistema aziendale online, incluse, a titolo esemplificativo ma non esaustivo, vulnerabilità di SQL injection nel database principale.

4. Terminale mobile: vulnerabilità di esecuzione di codice in remoto che può interessare direttamente un gran numero di utenti senza interazione.

5. Lato dispositivo: Per quanto riguarda l'accesso remoto ai permessi di esecuzione del dispositivo (come il download di dati di altri utenti NAS, l'accesso remoto ai dispositivi, ecc.) nell'ambiente Internet, non vi è alcuna vulnerabilità di esecuzione interattiva di comandi remoti nell'ambiente Internet.

【 vulnerabilità ad alto rischio 】

1. Vulnerabilità che portano direttamente alla divulgazione di informazioni sensibili sui server online, tra cui, a titolo esemplificativo ma non esaustivo, la divulgazione del codice sorgente del sistema principale, il download di file di log sensibili del server, ecc.

2. Il sistema aziendale principale può utilizzare l'identità di altri per eseguire tutte le funzioni della vulnerabilità, la vulnerabilità di operazioni non autorizzate importanti o sensibili del sistema aziendale principale.

3. L'accesso non autorizzato alla piattaforma di gestione e l'utilizzo delle funzioni di amministratore, inclusi, a titolo esemplificativo ma non esaustivo, l'accesso tramite account amministratore con credenziali sensibili, l'attività sulla piattaforma in questione, la base utenti, l'importanza funzionale e la sensibilità delle informazioni degli utenti saranno considerati come criteri di valutazione della vulnerabilità ad alto rischio.

4. Vulnerabilità ad alto rischio di fuga di informazioni. Include, a titolo esemplificativo ma non esaustivo, la fuga di dati sensibili che possono essere sfruttati direttamente, vulnerabilità di fuga che possono portare a una grande quantità di informazioni sull'identità dell'utente.

5. Vulnerabilità SSRF con echi che possono accedere alla Intranet di Ugreen.

6. Terminale mobile: le applicazioni di terze parti utilizzano le funzioni del client mobile in diverse applicazioni per eseguire operazioni ad alto rischio (come la lettura e la scrittura di file, la lettura e la scrittura di SMS e la lettura e la scrittura di dati del client) e per causare la divulgazione di informazioni sensibili ad alto rischio.

7. Dispositivo: ottiene l'autorizzazione di esecuzione del dispositivo (come il download di dati di altri utenti NAS o l'accesso remoto ai dispositivi) dalla sorgente vicina o dalla LAN. Non è presente alcuna vulnerabilità di esecuzione interattiva di comandi remoti nella sorgente vicina o nella LAN.

8. Dispositivo: Vulnerabilità che causano da remoto un denial of service permanente sui dispositivi, inclusi, a titolo esemplificativo ma non esaustivo, attacchi denial of service remoti sui dispositivi di sistema (i dispositivi non possono più essere utilizzati, sono completamente danneggiati in modo permanente o l'intero sistema deve essere riscritto), e attacchi che non consentono il contatto fisico con i dispositivi e che devono essere replicati rapidamente in batch.

【Vulnerabilità a rischio medio】

1. Perdita di informazioni ordinarie, tra cui, a titolo esemplificativo ma non esaustivo, la password di archiviazione in chiaro del client mobile, il download del pacchetto di compressione del codice sorgente contenente informazioni sensibili del server o del database.

2. I difetti di progettazione logica presenti nel sistema, come ad esempio le falle nei sistemi di pagamento.

3. Vulnerabilità causate da difetti nei meccanismi di autenticazione deboli, tra cui, a titolo esemplificativo ma non esaustivo, la possibilità di violare con la forza bruta funzioni captcha sensibili, l'assenza di captcha nell'interfaccia di accesso, ecc.

4. Vulnerabilità SSRF senza eco.

5. Vulnerabilità che richiedono interazione per ottenere informazioni sull'identità dell'utente, tra cui, a titolo esemplificativo ma non esaustivo, CSRF per operazioni sensibili, XSS di archiviazione, dirottamento JSONP per informazioni sensibili, ecc.

6. Vulnerabilità di negazione del servizio da remoto che può disabilitare alcune funzionalità di un'applicazione online (è necessario dimostrare che influisce anche su altri utenti).

7. Una vulnerabilità che causa il rifiuto del servizio da parte di un dispositivo intelligente. Ad esempio, un dispositivo di sistema è soggetto a un attacco denial-of-service permanente avviato localmente (il dispositivo non può più essere utilizzato: completamente danneggiato in modo permanente o l'intero sistema operativo deve essere riscritto), una vulnerabilità di attacco denial-of-service temporaneo causata da attacchi remoti (sospensione o riavvio remoto), e l'attacco deve essere in grado di replicarsi rapidamente in batch.

8. Una vulnerabilità che consente ai normali sistemi aziendali di utilizzare le identità di altre persone per eseguire tutte le operazioni funzionali al di là delle loro autorizzazioni.

【vulnerabilità a basso rischio】

1. Vulnerabilità che possono essere sfruttate negli attacchi di phishing, incluse, a titolo esemplificativo ma non esaustivo, le vulnerabilità di reindirizzamento URL.

2. Difetti di progettazione logica a basso rischio.

3. Vulnerabilità minori di fuga di informazioni, tra cui, a titolo esemplificativo ma non esaustivo, fughe di percorsi, fughe di file .git e contenuti dei log aziendali lato server.

4. Vulnerabilità che possono essere sfruttate per phishing o hacking, incluse, a titolo esemplificativo ma non esaustivo, modifiche arbitrarie degli URL e vulnerabilità XSS riflessive.

5. Terminale mobile: negazione del servizio locale (inclusi, a titolo esemplificativo, la negazione del servizio causata dalle autorizzazioni di componenti Android non di terze parti), fuga di informazioni di minore entità (che interessa solo i singoli utenti), ecc.

6. Una vulnerabilità che causa il temporaneo rifiuto del servizio da parte di un dispositivo. Ciò include, a titolo esemplificativo ma non esaustivo, le vulnerabilità di attacco denial-of-service temporaneo causate da attacchi locali (i dispositivi devono essere ripristinati alle impostazioni di fabbrica).

【Ignorare il problema】

1. Problemi di bug non correlati alla sicurezza, inclusi, a titolo esemplificativo ma non esaustivo, l'apertura lenta delle pagine web, uno stile disordinato, ecc.

2. Il rapporto presentato è troppo semplice e, in base al contenuto del rapporto stesso, non è riproducibile, comprese, a titolo esemplificativo, le vulnerabilità che non possono essere riprodotte nemmeno dopo ripetute comunicazioni con il responsabile della verifica delle vulnerabilità.

3. Segnalazioni non sfruttabili o innocue, tra cui, a titolo esemplificativo ma non esaustivo, falsi CSRF (nessun impatto reale sugli utenti), attacchi denial-of-service locali che non possono colpire altri, Self-XSS, PDF XSS, fughe di informazioni non sensibili (IP intranet, nome di dominio), mail bomb, ecc.

4. Nessuna fuga di codice sorgente di fatto.

5.Il problema di sicurezza risiede nel modulo non Ugreen del prodotto hardware, oppure si tratta di un difetto dell'hardware stesso.

6. Problemi di sicurezza che Ugreen divulga proattivamente o che sono stati divulgati esternamente.

7. Problemi di sicurezza relativi a prodotti, app o applicazioni web non più supportate.

8. Vulnerabilità che Ugreen è in grado di auto-validare internamente, note e già risolte.

9. Negazione del servizio causata dalle autorizzazioni di tre componenti Android.

Qualsiasi informazione fornita a Ugreen in merito alle vulnerabilità dei prodotti NAS, incluse tutte le informazioni contenute nei report sulle vulnerabilità dei prodotti, sarà di proprietà di Ugreen e verrà utilizzata da quest'ultima.

Ugreen si riserva il diritto di modificare la presente informativa in qualsiasi momento.