Relatando um Problema de Segurança

Se você descobrir uma questão de segurança ou vulnerabilidade em um produto ou serviço da Acquia, pedimos que nos relate isso de forma confidencial.

Reportar uma Questão de Segurança

Writing on the board - having a plan
Writing on a board - making a plan
Writing on a board - making a plan
navy and pink line art of a knight with a shield with a lock on it and a castle in the background

Divulgação Responsável

Na Acquia, levamos muito a sério a segurança de nossos produtos. Educamos nossa equipe sobre as melhores práticas de segurança e nosso processo de desenvolvimento inclui etapas de garantia de qualidade para assegurar que nossos produtos sejam de alta qualidade e seguros. No entanto, como todos os produtos de software complexos, é possível que uma vulnerabilidade de segurança esteja presente em um de nossos produtos.

Por favor, envie os detalhes por e-mail para nossa equipe de segurança em [email protected]. Valorizamos a divulgação responsável e reconheceremos os pesquisadores de segurança quando um problema for relatado, aderindo aos seguintes parâmetros.

A Acquia não possui atualmente um programa de recompensas por bugs implementado, porém ficamos felizes em creditar os pesquisadores com seus nomes e um link para o endereço de sua escolha (por exemplo, Twitter ou site pessoal) em nosso Hall da Fama abaixo.

Parâmetros e Exclusões

Parâmetros

  • Não acesse, destrua ou impacte negativamente os dados da Acquia ou de seus clientes de forma alguma.
  • Não utilize scanners automatizados. (O uso de scanners automatizados pode resultar em ações investigativas e no bloqueio do seu IP.)
  • Faça um esforço de boa-fé para evitar violações de privacidade e interrupção ou degradação dos serviços da Acquia durante sua pesquisa. (ex: Negação de Serviço)
  • Não realize qualquer tipo de ataque físico ou eletrônico contra o pessoal, escritórios ou data centers da Acquia.
  • Permita tempo razoável para a Acquia investigar seu relatório e realizar qualquer remediação necessária.
  • Não viole leis nem quebre acordos anteriores.

Exclusões

  • Banners de software do servidor exibidos ou outras informações de versão.
  • Mensagens de erro descritivas.
  • Cabeçalhos de segurança HTTP ausentes. (ex.: X-Frame-Options)
  • Registros SPF ausentes ou incorretos.
  • CSRF em formulários disponíveis para usuários anônimos
  • Enumeração de nome de usuário / e-mail
  • Divulgação de arquivos públicos conhecidos. (ex.: robots.txt)

A Acquia não iniciará ações legais contra pesquisadores, desde que sigam esses parâmetros. A Acquia se reserva o direito de creditar apenas pesquisadores que tenham relatado um problema comprovado e de gravidade suficiente.

Detalhes da Submissão

Forneça o máximo de detalhes relevantes possível, como:

  • Como a vulnerabilidade pode ser explorada e o impacto potencial.
  • Como você descobriu a vulnerabilidade e passos claros para reproduzi-la.
  • Qualquer prova de conceito do ataque e/ou imagens mostrando o vetor de ataque.
  • Quaisquer correções conhecidas ou controles para mitigar a vulnerabilidade.
line art of a shield
Obrigado

Hall da Fama de Segurança

Um agradecimento especial às seguintes pessoas que divulgaram responsavelmente vulnerabilidades à Acquia no passado:

  • Ausaf Liaquat
  • Amjad Kabaha - Facebook
  • Prakash Kumar - LinkedIn
  • Vishal Panchani (gujjuboy10x00) - Twitter
  • Ronak Nahar (naharronak) - LinkedIn
  • Chirag Gupta (chiraggupta8769) - LinkedIn
  • Shoeb "CaptainFreak" Patel - Twitter
  • Gokul Babu (gokul-babu-452b3b112) - LinkedIn
  • Suhas Gaikwad (iamsuhasgaikwad) - Twitter
  • S.Vijay (cracbaby) - Twintech Solutions - Facebook
  • Fabio Pires (fabiopirespt) - Twitter
  • Francesco Mifsud (gradiusx) - Twitter
  • Cody Zacharias
  • Kamil Sevi (kamilsevi) - Twitter
  • Emanuel Bronshtein (e3amn2l) - Twitter
  • M.R.Vignesh Kumar (vigneshkumarmr) - Twitter
  • Prajal Kulkarni
  • Himanshu Kumar Das (mehimansu) - Twitter
  • Ajay Singh Negi
  • Atulkumar Hariba Shedage