Objet
Exentec s’engage à maintenir la sûreté, la sécurité et la cyber-résilience de ses produits comportant des éléments numériques.
La présente politique de divulgation coordonnée des vulnérabilités (CVD) explique comment les chercheurs en sécurité, les clients, les partenaires et d’autres tiers peuvent signaler des vulnérabilités à Exentec, ainsi que la manière dont nous les traitons, les corrigeons et les divulguons.
Cette politique soutient le processus de traitement des vulnérabilités d’Exentec et ses obligations en vertu des lois applicables en matière de cybersécurité, y compris le règlement (UE) 2024/2847 (Cyber Resilience Act).
Champ d’application
La présente politique s’applique aux vulnérabilités de sécurité présumées affectant les produits Exentec comportant des éléments numériques, y compris les micrologiciels, les logiciels, les composants embarqués et, le cas échéant, les services numériques nécessaires au fonctionnement prévu d’un produit.
Exclus du champ d’application :
- Les vulnérabilités de sécurité physique sans impact sur la cybersécurité
- Les services tiers qui ne relèvent pas du contrôle d’Exentec
- L’ingénierie sociale, l’hameçonnage, le spam ou les attaques physiques
- Les tests de déni de service, les tests de charge ou les activités perturbatrices
Lorsqu’un problème signalé concerne un composant tiers intégré dans un produit Exentec, Exentec peut évaluer le signalement et le coordonner avec le fournisseur ou le mainteneur concerné, selon le cas.
Comment signaler une vulnérabilité
Veuillez signaler les vulnérabilités présumées à Exentec par e-mail :
E-mail : security@exentec.net
Les signalements doivent être soumis en anglais dans la mesure du possible.
Exentec traite les signalements de vulnérabilités et les communications associées comme confidentiels et traite les informations conformément aux obligations légales, réglementaires, de confidentialité et de protection des données applicables.
Veuillez ne pas signaler les vulnérabilités de sécurité sur des forums publics ou sur les réseaux sociaux.
Informations à inclure dans votre signalement
Veuillez inclure autant que possible les informations suivantes :
- Produit concerné, y compris le modèle, la version du micrologiciel ou du logiciel, ainsi que les détails de configuration lorsqu’ils sont disponibles
- Description de la vulnérabilité, y compris l’impact potentiel et les instructions de reproduction étape par étape
- Informations complémentaires, telles que du code de preuve de concept, des journaux, des traces ou d’autres preuves techniques
- Références publiques, s’il y en a. Veuillez indiquer si la vulnérabilité a déjà été divulguée publiquement ou est activement exploitée
Vos coordonnées (facultatif)
Comment Exentec traite les signalements de vulnérabilités
Exentec applique un processus de divulgation coordonnée des vulnérabilités visant à favoriser un signalement responsable, une remédiation rapide, la réduction des risques et une divulgation publique appropriée.
Le cas échéant, Exentec peut :
- Accuser réception du signalement
- Valider et évaluer la vulnérabilité
- Déterminer la gravité et l’impact potentiel
- Développer des mesures correctives ou d’atténuation
- Se coordonner avec les fournisseurs, mainteneurs ou partenaires concernés
Publier un avis de sécurité lorsque cela est approprié
Exentec peut communiquer avec l’auteur du signalement pendant le processus d’évaluation et de remédiation lorsqu’un complément d’information ou une clarification est nécessaire.
Les avis de sécurité peuvent inclure les produits concernés, le niveau de gravité, l’identifiant CVE, les recommandations de remédiation, les versions corrigées et la mention du rapporteur lorsque cela a été convenu.
Signalement au titre du Cyber Resilience Act de l’UE
Lorsque cela est requis par le règlement (UE) 2024/2847 (Cyber Resilience Act), Exentec signalera les vulnérabilités activement exploitées et les incidents de sécurité graves affectant les produits comportant des éléments numériques au CSIRT désigné et à l’ENISA dans les délais légaux applicables.
Clause de protection
Exentec accueille favorablement et soutient la recherche en sécurité responsable.
Exentec n’a pas l’intention d’engager des poursuites judiciaires à l’encontre des personnes qui agissent de bonne foi, respectent la présente politique, évitent de nuire aux utilisateurs et aux systèmes, et donnent à Exentec une possibilité raisonnable d’enquêter sur les vulnérabilités signalées et d’y remédier avant toute divulgation publique.
Cette clause de protection s’applique uniquement à la recherche en sécurité licite, responsable et non perturbatrice et ne s’applique pas aux activités illégales, malveillantes, imprudentes, trompeuses ou nuisibles.
Coordination de la chaîne d’approvisionnement
Lorsqu’une vulnérabilité affecte un composant tiers ou open source utilisé dans un produit Exentec, Exentec peut coordonner les activités de remédiation et de divulgation avec le fournisseur, le mainteneur, le fabricant ou le projet amont concerné.
Veuillez inclure les noms des composants, les versions, les dépôts ou les coordonnées du fournisseur lorsqu’ils sont disponibles.
Confidentialité et reconnaissance
Exentec traite les signalements de vulnérabilités comme confidentiels et attend des rapporteurs qu’ils en fassent de même jusqu’à ce qu’une divulgation coordonnée ait eu lieu ou qu’Exentec ait approuvé une divulgation publique.
Avec le consentement du rapporteur, Exentec peut reconnaître publiquement les personnes ou les organisations qui signalent de manière responsable des vulnérabilités confirmées.
Avertissement
La présente politique constitue une invitation volontaire à signaler des vulnérabilités et ne crée pas d’obligations contractuelles au-delà de celles prévues par le droit applicable.
Aucune disposition du présent avertissement n’a pour objet de limiter les obligations d’Exentec en vertu du droit applicable, y compris le Cyber Resilience Act lorsqu’il s’applique.