Безопасность
Публикуем затронутые модели, версии и рекомендации. Детали не раскрываем до выхода исправления.
Ответственное раскрытие
Если вы нашли дефект в прошивке Nova, напишите на support@lynxtone.com. В теме письма укажите, что это сообщение о безопасности — так обращение сразу попадёт к инженерам.
Мы просим не публиковать детали до выхода исправления — это даёт время обновить устройства, которые работают без внешнего присмотра.
Что можно сообщить
Что можно сообщить
- Обход аутентификации и повышение привилегий в LuCI или SSH.
- Переполнение буфера, out-of-bounds и подобные дефекты в сетевых сервисах.
- Утечка конфигурации, ключей или журналов через веб-интерфейс.
- Межсайтовый скриптинг и подделка запросов в административном интерфейсе.
Что не считается уязвимостью
Что не считается уязвимостью
- Слабый пароль, заданный пользователем при настройке.
- Открытый в WAN веб-интерфейс или SSH — это ошибка конфигурации, а не дефект прошивки.
- Отсутствие исправления в версии, поддержка которой прекращена.
- Атаки, требующие физического доступа к устройству.
Если вы нашли уязвимость
Если вы нашли уязвимость
- Напишите на support@lynxtone.com: модель, версия прошивки, шаги воспроизведения.
- Приложите proof-of-concept, если он есть; не выкладывайте детали публично до исправления.
- Укажите, нужна ли вам публичная ссылка на авторство в рекомендации.
Что мы делаем
Что мы делаем
- Подтверждаем получение сообщения и уточняем детали, если их не хватает.
- Проверяем проблему на затронутых моделях и готовим исправление.
- Публикуем рекомендацию: затронутые версии, исправленная версия, меры защиты.
- Не называем сроков исправления, которые не можем подтвердить.