Vulnérabilités
Gestion des vulnérabilités : comment nous signaler une faille
Vous pensez avoir trouvé une faille dans la plateforme ? Voici comment nous la signaler, ce que nous vous demandons, et comment les correctifs sont diffusés.
Sommaire
Aucun logiciel n’est exempt de défauts. Ce qui compte, c’est la façon dont un défaut est signalé, traité et corrigé. Cette page s’adresse aux équipes sécurité de nos clients, aux intégrateurs et à toute personne qui pense avoir découvert une vulnérabilité dans la plateforme.
Comment nous signaler une faille
Les signalements passent par la page contact, en choisissant le sujet « Sécurité / conformité ». Décrivez brièvement le problème dans ce premier message, sans y joindre de détails d’exploitation : nous revenons vers vous pour convenir d’un échange adapté au niveau de sensibilité.
Ce que nous vous demandons
Un signalement utile permet de reproduire le problème et d’en mesurer la portée. Dans la mesure du possible, indiquez :
- la version de la plateforme concernée, visible depuis l’interface ;
- le composant en cause : interface, moteur d’analyse, comparaison, connecteur NetBox, licence ;
- les étapes pour reproduire le problème et le résultat observé ;
- l’impact que vous envisagez : accès non autorisé, fuite de données, indisponibilité ;
- vos coordonnées, pour que nous puissions vous tenir informé.
Merci de ne tester que sur une installation dont vous avez la responsabilité, de ne pas accéder aux données d’autrui, et de ne pas rendre le problème public avant qu’un correctif soit disponible.
Le traitement d’un signalement
Réception
Nous accusons réception du signalement et revenons vers vous pour la suite de l’échange.
Analyse
Nous reproduisons le problème, évaluons sa gravité et identifions les versions concernées.
Correction
Le correctif est développé, testé, puis publié sous forme de nouvelle version signée.
Information
Les clients concernés sont informés, avec la version corrigée et, si besoin, des mesures de contournement en attendant son installation.
Nous ne publions pas de délai garanti : chaque cas dépend de la gravité et de la complexité du correctif. Nous vous tenons informé de l’avancement tout au long du traitement.
Ce qui entre dans le périmètre
Le périmètre couvre la plateforme telle que nous la livrons : interface, moteur d’analyse, comparaison, connecteur NetBox et mécanisme de licence, dans une version publiée. Sont hors périmètre les problèmes qui relèvent de votre infrastructure (système d’exploitation, configuration réseau, NetBox lui-même) ; si vous en constatez à l’occasion de vos tests, signalez-les tout de même : nous vous dirons si un réglage de notre côté peut réduire le risque. Les questions de configuration ou d’usage, sans faille avérée, passent par le même formulaire, avec le sujet adapté.
Une divulgation coordonnée
Nous pratiquons la divulgation coordonnée : la vulnérabilité n’est rendue publique qu’une fois un correctif disponible et les clients informés. Si vous souhaitez publier votre découverte, nous convenons ensemble du moment et du contenu, et nous pouvons mentionner votre contribution si vous le souhaitez.
Nous ne proposons pas, à ce jour, de programme de récompense pour les signalements.
Comment les correctifs vous parviennent
Un correctif est toujours livré sous forme d’une nouvelle version, compilée et signée, dont la signature est vérifiée à l’installation, puis à chaque démarrage lancé par le script d’installation. Il n’y a ni modification à chaud, ni canal de mise à jour automatique : c’est votre équipe qui décide du moment de l’installation, dans le respect de votre processus de changement. Le détail est décrit sur la page Mises à jour signées et licence.
L’installation chez vous a ici un avantage : la plateforme n’étant joignable que depuis votre réseau, la surface d’exposition d’une faille est réduite par vos propres protections, en attendant le correctif.