1.Cum raportezi
Scrie la security@malnox.com. Confirmăm primirea în maximum 3 zile lucrătoare și îți spunem în aceeași zi dacă raportul intră în scope.
Include pașii de reproducere, versiunea produsului, versiunea Windows și impactul estimat. Dacă ai un proof of concept, atașează-l — nu îl executăm pe sisteme de producție.
- security@malnox.com
- Nu trimite date personale ale altor utilizatori și nu testa pe sisteme care nu îți aparțin.
2.Ce intră în scope
Componentele produsului care procesează date: motorul de scanare, parserul de reguli YARA, motorul de arhive, serviciul local pe 127.0.0.1:4711, API-ul de carantină, autentificarea și RBAC, importul de pachete de intel, host-ul de serviciu și installer-ul.
- În scope: execuție de cod, escaladare de privilegii, path traversal, bypass al carantinei, bypass de autentificare, corupere de integritate a pachetelor semnate.
- În afara scope-ului: lipsa unui driver semnat și a altor funcții declarate explicit ca limitări în README, atacuri care cer deja administrator local, inginerie socială, DoS prin resurse locale epuizate intenționat.
3.Procesul, cu termene
Confirmăm în 3 zile lucrătoare, dăm o evaluare inițială în 10 zile lucrătoare și lucrăm la o remediere. Îți spunem stadiul la fiecare 14 zile, chiar dacă nu e nicio noutate — un raport ignorat e mai rău decât un refuz clar.
Ținem problema confidențială până la remediere, apoi publicăm un advisory cu descrierea tehnică. Nu publicăm numele cercetătorului fără acordul lui explicit.
4.Recunoaștere
Nu avem o recompensă financiară stabilită pentru raportări, dar oferim credit public, un an de licență Malnox Complete gratuit și, dacă vrei, o recomandare scrisă pentru portofoliu.
Nu dăm în judecată pe cineva care raportează cu bună-credință și respectă această politică. Dacă ai dubii despre un test, întreabă-ne înainte.
Ai o întrebare despre acest document? Scrie la privacy@malnox.com sau folosește formularul de contact.