Koordinierte Offenlegung von Schwachstellen (CVD): Richtlinien
Ergosoft – Richtlinie zur Offenlegung von Schwachstellen
Version 1.0 · Gültig ab Juni 2026
Zweck
Ergosoft nimmt die Sicherheit von Ergosoft RIP ernst und begrüsst Meldungen vermuteter Schwachstellen aus der Security-Community. Diese Richtlinie erläutert, wie Sie ein Problem melden, was Sie von uns erwarten können und wie Sie unsere Software sicher und in gutem Glauben untersuchen.
Geltungsbereich
Im Geltungsbereich: Ergosoft RIP, alle aktuell unterstützten Versionen.
Ausserhalb des Geltungsbereichs: Drittanbieter-Software, die mit Ergosoft RIP gebündelt ist (bitte melden Sie diese direkt beim jeweiligen Hersteller); Social Engineering gegenüber Ergosoft-Mitarbeitenden; physische Angriffe; und Denial-of-Service-Tests. Meldungen zu bekannten Schwachstellen in Drittanbieter-Komponenten oder reine Scanner-Ausgaben ohne nachgewiesene, Ergosoft RIP-spezifische Auswirkung werden über den regulären Ergosoft-Support und nicht über diesen Kanal bearbeitet.
So melden Sie eine Schwachstelle
Senden Sie Ihre Meldung an security@ergosoft.net und geben Sie Folgendes an:
- Betroffene Ergosoft RIP-Version(en) und Betriebssystem.
- Eine klare Beschreibung des Problems und seiner möglichen Auswirkungen.
- Schritte zur Reproduktion, mit Proof-of-Concept-Code (PoC) oder Dateien, sofern hilfreich.
- Ob und wann Sie Ihre Erkenntnisse veröffentlichen möchten.
Was Sie von uns erwarten können
Wenn Sie in gutem Glauben melden und uns eine Kontaktmöglichkeit geben, arbeiten wir offen mit Ihnen zusammen und antworten so schnell, wie es unser kleines Team erlaubt. Sie erhalten innerhalb von 5 Arbeitstagen eine Eingangsbestätigung Ihrer Meldung. Anschliessend teilen wir Ihnen mit, ob wir das Problem reproduzieren können, halten Sie über unseren Fortschritt auf dem Laufenden, einschliesslich allem, was eine Behebung verzögert, und legen gemeinsam ein Datum für die koordinierte Offenlegung fest.
Verhaltensregeln
Bevor Sie beginnen, lesen Sie bitte die Ergosoft Schwachstellen-Offenlegung: Verhaltensregeln, die festlegen, wie Sie Ihre Untersuchung durchführen, was untersagt ist und welche Meldungen in den Geltungsbereich fallen und welche nicht. Mit der Teilnahme an der koordinierten Offenlegung mit Ergosoft erklären Sie sich bereit, diese einzuhalten.
Anerkennung
Ergosoft betreibt kein bezahltes Bug-Bounty-Programm und bietet keine finanzielle Vergütung. Mit Ihrer Meldung bestätigen Sie, dass Sie keinen Anspruch auf Zahlung oder Vergütung haben und auf jegliche künftige Zahlungsforderung im Zusammenhang mit Ihrer Meldung verzichten. Nach eigenem Ermessen und mit Ihrer Zustimmung können wir die Person, die eine bestätigte, zuvor unbekannte Schwachstelle als Erste meldet, in der zugehörigen Sicherheitsmeldung nennen. Eine solche Nennung ist eine Geste des guten Willens, kein Anspruch.
Sicherheitsmeldungen
Wenn wir eine schwerwiegende Schwachstelle bestätigen und beheben, die ausgelieferte Produkte betrifft, veröffentlichen wir auf der Ergosoft-Website eine Sicherheitsmeldung, die das Problem und die Behebung beschreibt, damit Kunden die Lage einschätzen und aktualisieren können.
Safe Harbour
Wir leiten keine rechtlichen Schritte gegen Sicherheitsforschende ein, die in gutem Glauben handeln und diese Richtlinie befolgen.
Änderungen dieser Richtlinie
Ergosoft behält sich das Recht vor, diese Richtlinie jederzeit und ohne Vorankündigung zu ändern sowie Ausnahmen im Einzelfall zu gewähren.
Kontakt
Ergosoft AG
Moosgrabenstrasse 13
8595 Altnau, Schweiz
Sicherheitskontakt: security@ergosoft.net