start portlet menu bar end portlet menu bar

Politique de divulgation des vulnérabilités logicielles HCL

 

HCLSoftware reconnaît l'importance de la communauté de la sécurité pour la sécurité de nos produits et de nos clients. Nous vous remercions par avance pour votre contribution à notre programme de divulgation des vulnérabilités.

L'équipe de gestion des vulnérabilités d'HCLSoftware gère la réception, l'investigation et la coordination interne des informations sur les vulnérabilités de sécurité liées aux offres HCLSoftware. Cette équipe se coordonne avec les équipes produits et solutions d'HCL pour investiguer et, si nécessaire, identifier le plan de réponse approprié. La communication entre toutes les parties prenantes, internes et externes, est un élément clé de notre processus de réponse aux vulnérabilités.

HCL s'efforcera de répondre aux nouveaux rapports dans un délai de 2 jours ouvrables.

Les clients et autres utilisateurs autorisés d'un produit ou d'une solution doivent contacter le Support client HCLSoftware pour signaler les problèmes détectés dans les offres HCL. Si l'équipe du support client HCLSoftware détermine qu'un problème signalé constitue une vulnérabilité de sécurité, elle contactera l'équipe de gestion des vulnérabilités HCLSoftware, si nécessaire.

 

This text is not displayed but is loaded on page.

Lignes directrices

  • Pour être admissible à participer à ce programme, vous ne devez pas être sous contrat pour effectuer des tests de sécurité pour HCL Corporation, une filiale de HCL ou un client de HCL dans les 6 mois précédant la soumission d'un rapport.
  • Signalez uniquement les vulnérabilités des produits HCLSoftware actuellement pris en charge. Consultez la section « Périmètre » ci-dessous pour obtenir la liste des produits concernés. Seules la version actuelle et la version précédente de ces produits sont couvertes par ce programme.
  • Afin de protéger ses clients, HCLSoftware ne divulgue ni ne confirme publiquement les vulnérabilités de sécurité tant qu'elle n'a pas analysé le produit et publié des correctifs et/ou des mesures d'atténuation. En soumettant un rapport de vulnérabilité à HCLSoftware, vous acceptez de ne pas divulguer publiquement ni partager la vulnérabilité avec un tiers tant qu'HCLSoftware n'a pas confirmé sa correction ou que vous n'avez pas reçu l'autorisation écrite de HCLSoftware de publier des informations sur la vulnérabilité.
  • HCLSoftware ne participe pas aux programmes de récompenses de bug bounty pour le moment.
  • Afin que HCL puisse évaluer votre rapport de vulnérabilité, vous acceptez de fournir les informations suivantes concernant votre découverte : votre adresse e-mail (obligatoire) et des informations sur le logiciel et sa version, une description du problème, la plateforme matérielle, les étapes à suivre pour reproduire le problème et son impact potentiel. Voir la section « Signaler une vulnérabilité de sécurité ».
  • N'incluez aucune information susceptible d'identifier une personne (comme un nom, des coordonnées, une adresse IP ou d'autres informations similaires) dans les pièces jointes incluses dans votre rapport de vulnérabilité.

Vulnérabilités hors de portée

Les soumissions suivantes ne sont pas acceptées dans le cadre de ce programme.

  • Détournement de clic sur des pages sans actions de changement d'état sensibles.
  • CSRF non authentifié/déconnexion/connexion.
  • Attaques nécessitant un MITM ou un accès physique à l'appareil d'un utilisateur.
  • Bibliothèques vulnérables connues auparavant sans preuve de concept fonctionnelle.
  • Injection de valeurs séparées par des virgules (CSV) sans démontrer de vulnérabilité.
  • Bonnes pratiques qui ne conduisent pas à une vulnérabilité exploitable ou qui n’ont pas de CVE.
  • Toute activité pouvant entraîner une interruption de notre service (DoS).
  • Problèmes d'usurpation de contenu et d'injection de texte sans montrer de vecteur d'attaque/sans pouvoir modifier HTML/CSS.
  • Les logiciels HCL qui ont atteint la fin du support (EOS) ne sont pas acceptés et recevront une réponse « Non applicable ».
  • Données publiques accessibles à tous. Remarque : si vous trouvez une fiche d'annuaire et expliquez comment elle peut mener à une exploitation malveillante, nous l'accepterons.

Mentions légales

En soumettant un rapport de vulnérabilité à HCL, vous acceptez que HCL puisse utiliser toute information fournie par vous dans ce rapport à toute fin commerciale de HCL (y compris, mais sans s'y limiter, la reproduction de la vulnérabilité, la correction de la vulnérabilité et à des fins de développement général), sans exiger votre consentement ou votre paiement.

Il est également important de nous signaler si ces informations ou la propriété intellectuelle associée ne sont pas votre œuvre ou sont protégées par les droits de propriété intellectuelle d'autrui. Ne pas nous en informer signifie que vous déclarez qu'aucun droit de propriété intellectuelle de tiers n'est concerné.

Merci de contribuer à assurer la sécurité de HCL et de nos clients !

Tous les produits HCLSoftware sont concernés par
la politique de divulgation des vulnérabilités.