start portlet menu bar end portlet menu bar

Política de divulgação de vulnerabilidades da HCLSoftware

 

A HCLSoftware reconhece a importância da comunidade de segurança para proteger nossos produtos e clientes. Agradecemos antecipadamente por suas contribuições com o nosso programa de divulgação de vulnerabilidades.

A equipe de gerenciamento de vulnerabilidades da HCLSoftware gerencia o recebimento, a investigação e a coordenação interna de informações de vulnerabilidade de segurança relacionadas às ofertas da HCLSoftware. Essa equipe trabalhará com as equipes de produtos e soluções da HCL para investigar e, se necessário, identificar o plano de resposta apropriado. Manter a comunicação entre todas as partes envolvidas, internas e externas, é um componente fundamental do nosso processo de resposta a vulnerabilidades.

A HCL terá como objetivo responder a novos relatórios dentro de dois dias úteis.

Os clientes e outros usuários qualificados de um produto ou solução devem entrar em contato com o Suporte ao cliente da HCLSoftware para relatar problemas descobertos nas ofertas da HCL. Se a equipe de Suporte ao cliente da HCLSoftware determinar que um problema relatado é uma vulnerabilidade de segurança, ela entrará em contato com a equipe de gerenciamento de vulnerabilidades da HCLSoftware, conforme necessário.

 

This text is not displayed but is loaded on page.

Diretrizes

  • Para poder participar deste programa, você não deve estar sob contrato para realizar testes de segurança para a HCL Corporation, uma subsidiária da HCL ou um cliente da HCL dentro de seis meses antes de enviar um relatório.
  • Relate apenas vulnerabilidades para produtos da HCLSoftware que têm suporte no momento. Verifique a seção "No escopo" abaixo para obter a lista de produtos. Este programa cobre somente a versão atual e a versão anterior de qualquer um desses produtos.
  • Para proteger nossos clientes, a HCLSoftware não divulga publicamente nem confirma vulnerabilidades de segurança até que a HCLSoftware tenha realizado uma análise do produto e emitido correções e/ou atenuações. Ao enviar um relatório de vulnerabilidade à HCLSoftware, você concorda em não divulgar publicamente ou compartilhar a vulnerabilidade com terceiros até que a HCLSoftware confirme que a vulnerabilidade foi corrigida ou que você recebeu permissão por escrito da HCLSoftware para publicar informações sobre a vulnerabilidade.
  • A HCLSoftware não participa de programas de recompensas por bugs neste momento.
  • Para que a HCL possa avaliar seu relatório de vulnerabilidade, você concorda em fornecer as seguintes informações sobre sua descoberta: seu endereço de e-mail (obrigatório) e detalhes sobre o produto e a versão do software, uma descrição do problema, a plataforma de hardware, as etapas para reproduzir o problema e os possíveis impactos. Consulte a seção “Relatar uma vulnerabilidade de segurança”.
  • Não inclua informações que identifiquem um indivíduo (como nome, informações de contato, endereço IP ou outras informações semelhantes) em nenhum anexo incluído no relatório de vulnerabilidades.

Vulnerabilidades fora do escopo

Os seguintes envios não são aceitos como parte deste programa.

  • Clickjacking em páginas sem ações que alterem o estado confidencial.
  • Logout/login de CSRF não autenticado.
  • Ataques que exigem MITM ou acesso físico ao dispositivo de um usuário.
  • Bibliotecas conhecidas por conterem vulnerabilidades sem uma prova de conceito funcional.
  • Injeção de valores separados por vírgula (CSV) sem demonstrar uma vulnerabilidade.
  • Práticas recomendadas que não levam a uma vulnerabilidade acionável ou não têm um CVE.
  • Qualquer atividade que possa causar a interrupção de nosso serviço (DoS).
  • Problemas de falsificação de conteúdo e injeção de texto sem mostrar um vetor de ataque/sem poder modificar HTML/CSS.
  • Software da HCL que tenha atingido fim do suporte (EOS) não é aceito e receberá uma resposta "Não aplicável".
  • Dados publicamente conhecidos que devem ser acessados por qualquer pessoa. Observação: se você encontrar uma lista de diretórios e explicar como ela pode levar a uma exploração mal-intencionada, nós a aceitaremos.

Aviso legal

Ao enviar um relatório de vulnerabilidade à HCL, você concorda que a HCL pode usar qualquer informação fornecida por você nesse relatório para qualquer finalidade comercial da HCL (incluindo, mas não somente, reprodução da vulnerabilidade, correção da vulnerabilidade e propósitos gerais de desenvolvimento), sem exigir consentimento ou pagamento a você.

Além disso, é importante que você nos notifique se qualquer informação ou propriedade intelectual associada não for seu próprio trabalho ou estiver coberta pelos direitos de propriedade intelectual de terceiros. Deixar de nos notificar significa que você confirma que nenhum direito de propriedade intelectual de terceiros está envolvido.

Agradecemos sua ajuda para manter a segurança da HCL e de nossos clientes!

Todos os produtos da HCLSoftware estão no escopo da
Política de divulgação de vulnerabilidades.