Schwachstelle melden (CVD)

Senden Sie Ihren Fund per E-Mail an info@marcovader.nl. Geben Sie darin an:

• welche Seite, Funktion oder URL betroffen ist;
• was Sie gefunden haben und welche Folgen das haben kann;
• die Schritte zur Reproduktion, gegebenenfalls mit Screenshots;
• wie wir Sie erreichen können und ob Sie namentlich genannt werden möchten.

Sie können auf Niederländisch, Englisch oder Deutsch melden. Diese Adresse steht auch in unserer security.txt.

• Nutzen Sie das Problem nicht weiter aus, als nötig ist, um es nachzuweisen.
• Sehen Sie keine Daten anderer ein und kopieren, ändern oder löschen Sie sie nicht, etwa E-Mail-Adressen von Abonnenten. Gelingt Ihnen das doch, hören Sie auf und melden Sie, was Sie gesehen haben.
• Führen Sie keine Angriffe aus, die die Website stören oder verlangsamen (Denial of Service), und scannen Sie nicht so intensiv, dass die Website beeinträchtigt wird.
• Verwenden Sie kein Social Engineering, kein Phishing und keinen physischen Zugang, und installieren Sie nichts auf unseren Systemen.
• Teilen Sie das Problem nicht mit anderen, bis es behoben ist, und löschen Sie alle vertraulichen Daten, die Sie erhalten haben, sobald Sie die Meldung gemacht haben.

• Innerhalb von 5 Arbeitstagen eine Bestätigung, dass wir Ihre Meldung erhalten haben, mit einer ersten Einschätzung.
• Wir halten Sie über den Fortschritt auf dem Laufenden und streben an, das Problem innerhalb von 90 Tagen zu beheben. Den Zeitpunkt der Veröffentlichung vereinbaren wir gemeinsam.
• Wir behandeln Ihre Meldung vertraulich und geben Ihre Daten nicht ohne Ihre Zustimmung weiter.
• Wenn Sie sich an diese Richtlinie halten, erstatten wir keine Anzeige und ergreifen keine rechtlichen Schritte.
• Wenn Sie möchten, nennen wir Sie nach der Behebung namentlich in der Dankesliste unten.

IACS Radar hat kein Bug-Bounty-Programm: Für eine Meldung gibt es keine finanzielle Belohnung.

Diese Richtlinie gilt für iacsradar.nl: die Website, die RSS-Feeds, die E-Mail-Benachrichtigungen und die zugrunde liegenden APIs.

Nicht bei uns melden, sondern bei der jeweiligen Stelle:

• Schwachstellen in OT- und ICS-Produkten, die auf IACS Radar aufgeführt sind. Melden Sie diese beim Hersteller (dessen PSIRT), bei CERT@VDE oder beim NCSC. IACS Radar veröffentlicht nur Informationen, die Hersteller und Behörden bereits öffentlich gemacht haben.
• Probleme in den von uns genutzten Quellen (NVD, CISA, EPSS, Herstellerfeeds) oder bei den Diensten, auf denen die Website läuft.

Funde ohne nachweisbares Risiko nehmen wir gern entgegen, werten sie aber nicht als Schwachstelle. Beispiele sind Versionsnummern in Headern, fehlende Sicherheitsheader ohne konkrete Folge oder das Ergebnis eines automatisierten Scans ohne Erläuterung.

Hier danken wir allen, die eine Schwachstelle verantwortungsvoll gemeldet haben. Auf dieser Liste stehen noch keine Meldungen.