1. Segnalazione e processo di gestione delle vulnerabilità

[Segnalazione delle vulnerabilità]

Se ritieni che i prodotti NAS presentino vulnerabilità o incidenti di sicurezza che necessitano di essere segnalati, ti invitiamo a compilare il seguente modulo di segnalazione delle vulnerabilità.

[Processo di gestione delle vulnerabilità]

Fase 1: Il segnalatore deve fornire informazioni dettagliate sulla vulnerabilità.

Fase 2: UGREEN esamina, verifica e valuta le informazioni sulla vulnerabilità ricevute.

Fase 3: Correzione della vulnerabilità e verifica della risoluzione sui prodotti NAS.

Fase 4: Rilascio di una nuova versione del prodotto NAS contenente l'aggiornamento.

Fase 5: Comunicazione al segnalatore dei risultati dell'elaborazione.

Fase 6: Monitoraggio della stabilità del prodotto NAS dopo l'aggiornamento.

[Fase di valutazione delle vulnerabilità]

1. La segnalazione verrà confermata entro 1 giorno lavorativo dalla ricezione e sarà effettuata una valutazione preliminare.

2. Entro 3 giorni lavorativi la valutazione sarà completata e la vulnerabilità verrà corretta oppure sarà sviluppato un piano di mitigazione.

[Fase di correzione e completamento]

1. Le vulnerabilità critiche saranno corrette entro 3 giorni lavorativi dal completamento della valutazione.

2. Le vulnerabilità ad alto rischio saranno corrette entro 7 giorni lavorativi dal completamento della valutazione.

3. Le vulnerabilità a medio rischio saranno corrette entro 30 giorni lavorativi dal completamento della valutazione.

4. Le vulnerabilità a basso rischio saranno corrette entro 60 giorni lavorativi dal completamento della valutazione.

5. Alcune vulnerabilità sono soggette a limitazioni ambientali o hardware; pertanto, il tempo effettivo di risoluzione sarà determinato in base alle circostanze reali.

Per le vulnerabilità gravi o con impatti significativi verrà pubblicato un bollettino di sicurezza straordinario dedicato.

2. Standard di valutazione delle vulnerabilità

In base al grado di danno delle vulnerabilità, queste sono suddivise in quattro livelli: grave, ad alto rischio, a medio rischio e a basso rischio. Quando riceviamo una segnalazione di vulnerabilità, seguiamo una serie di passaggi per risolverla internamente, facendo riferimento allo standard ISO/IEC 30111. Tutte le vulnerabilità segnalate vengono valutate secondo i criteri del Common Vulnerability Scoring System (CVSS) 3.1.

[Vulnerabilità critiche]

1. Vulnerabilità che consentono accesso diretto remoto ai permessi di sistema (permessi server, permessi client, dispositivi smart), inclusi ma non limitati a esecuzione di codice arbitrario, esecuzione di comandi arbitrari, caricamento e utilizzo non autorizzato.

2. Difetti di progettazione logica del sistema core aziendale, inclusi ma non limitati a modifiche della password di qualsiasi account senza restrizioni di protezione, login di qualsiasi account, ecc.

3. Vulnerabilità che portano direttamente a gravi perdite di informazioni nel sistema business online, inclusi ma non limitati a vulnerabilità di SQL injection nel database core.

4. Terminale mobile: vulnerabilità di esecuzione remota di codice che può influenzare direttamente un gran numero di utenti senza interazione.

5. Lato dispositivo: accesso remoto ai permessi di esecuzione del dispositivo (ad esempio download dei dati di altri utenti NAS, accesso remoto ai dispositivi, ecc.) in ambiente Internet, senza vulnerabilità di esecuzione remota di comandi interattivi nell'ambiente Internet.

【 Vulnerabilità ad alto rischio 】

1. Vulnerabilità che portano direttamente alla divulgazione di informazioni sensibili sui server online, inclusi ma non limitati a perdita del codice sorgente del sistema core, download di file di log sensibili del server, ecc.

2. Il sistema business core può utilizzare l’identità di altri utenti per eseguire tutte le funzionalità, oppure vulnerabilità che consentono operazioni non autorizzate su funzioni importanti o sensibili del sistema core.

3. Accesso non autorizzato alla piattaforma di gestione e utilizzo delle funzioni amministrative, inclusi ma non limitati al login di account amministratore del backend sensibile; il livello di rischio viene valutato in base all’attività della piattaforma correlata, alla base utenti, all’importanza delle funzionalità e alla sensibilità delle informazioni degli utenti.

4. Vulnerabilità di divulgazione di informazioni ad alto rischio. Inclusi ma non limitati a fughe di dati sensibili direttamente sfruttabili e vulnerabilità che possono portare alla divulgazione di una grande quantità di informazioni sull’identità degli utenti.

5. Vulnerabilità SSRF con risposta che consentono l’accesso alla rete interna di UGREEN.

6. Terminale mobile: applicazioni di terze parti che utilizzano funzioni del client mobile tra applicazioni per eseguire operazioni ad alto rischio (come lettura/scrittura di file, lettura/scrittura di SMS e accesso ai dati del client) e vulnerabilità di esposizione di informazioni sensibili ad alto rischio.

7. Dispositivo: ottenimento dei permessi di esecuzione del dispositivo (ad esempio download dei dati di altri utenti NAS o accesso remoto ai dispositivi) da rete locale o rete vicina. Non include vulnerabilità di esecuzione remota di comandi interattivi nella rete locale o vicina.

8. Dispositivo: vulnerabilità che causano denial of service permanente da remoto sui dispositivi, inclusi ma non limitati ad attacchi DoS remoti sui dispositivi di sistema (dispositivi non più utilizzabili, danneggiamento permanente completo o necessità di reinstallazione completa del sistema); gli attacchi non richiedono accesso fisico al dispositivo e devono essere facilmente replicabili in batch.

【 Vulnerabilità a medio rischio 】

1. Perdite di informazioni ordinarie, inclusi ma non limitati a password memorizzate in chiaro sul client mobile, download di pacchetti compressi contenenti codice sorgente sensibile del server o del database.

2. Difetti di progettazione logica presenti nel sistema, come ad esempio vulnerabilità nei processi di pagamento.

3. Vulnerabilità derivanti da meccanismi di autenticazione deboli, inclusi ma non limitati a captcha di funzioni sensibili vulnerabili a brute force, interfacce di login senza captcha, ecc.

4. Vulnerabilità SSRF senza risposta (echo).

5. Vulnerabilità che richiedono l’interazione per ottenere informazioni sull’identità degli utenti, inclusi ma non limitati a CSRF per operazioni sensibili, XSS su storage, JSONP hijacking per informazioni sensibili, ecc.

6. Vulnerabilità di denial-of-service remoto che possono disabilitare alcune funzionalità di un’applicazione online (deve essere dimostrato che influisce su altri utenti).

7. Vulnerabilità che causano denial-of-service su dispositivi smart. Ad esempio, un dispositivo di sistema soggetto a un attacco DoS permanente locale (dispositivo non più utilizzabile: completamente danneggiato in modo permanente o necessità di reinstallare l’intero sistema operativo), attacco DoS temporaneo da remoto (sospensione o riavvio remoto) e attacco replicabile rapidamente in batch.

8. Vulnerabilità che consentono ai sistemi business ordinari di utilizzare l’identità di altri utenti per eseguire operazioni funzionali complete al di fuori delle proprie autorizzazioni.

【 Vulnerabilità a basso rischio 】

1. Vulnerabilità che possono essere sfruttate in attacchi di phishing, inclusi ma non limitati a vulnerabilità di reindirizzamento URL.

2. Difetti di progettazione logica a basso rischio.

3. Vulnerabilità di lieve perdita di informazioni, inclusi ma non limitati a fughe di percorsi, fughe di file .git e contenuti dei log di business lato server.

4. Vulnerabilità che possono essere sfruttate per phishing o attacchi di hacking, inclusi ma non limitati a manipolazione arbitraria degli URL e vulnerabilità XSS riflesso.

5. Terminale mobile: denial of service locale (inclusi ma non limitati a denial of service causato da permessi di componenti Android non di terze parti), lieve perdita di informazioni (che interessa solo singoli utenti), ecc.

6. Vulnerabilità che causano un temporaneo denial of service del dispositivo. Questo include ma non si limita a vulnerabilità di attacchi DoS temporanei causati da attacchi locali (con necessità di ripristino alle impostazioni di fabbrica del dispositivo).

【 Problemi ignorati 】

1. Problemi di bug non correlati alla sicurezza, inclusi ma non limitati a lentezza nell’apertura delle pagine web, stili disordinati, ecc.

2. La segnalazione inviata è troppo generica e non può essere riprodotta secondo il contenuto del report, inclusi ma non limitati a vulnerabilità che non possono essere riprodotte anche dopo ripetute comunicazioni con l’auditor delle vulnerabilità.

3. Segnalazioni non sfruttabili o innocue, inclusi ma non limitati a CSRF fasulli (nessun impatto reale sugli utenti), denial-of-service locale che non può influenzare altri, Self-XSS, PDF XSS, fughe di informazioni non sensibili (IP intranet, nomi di dominio), mail bomb, ecc.

4. Nessuna fuga di codice sorgente effettiva.

5. Problemi di sicurezza in moduli hardware non UGREEN o difetti del hardware stesso.

6. Problemi di sicurezza che UGREEN ha divulgato proattivamente o che sono già stati divulgati esternamente.

7. Problemi di sicurezza su prodotti, app o applicazioni web che non sono più mantenuti.

8. Vulnerabilità note e già corrette, che UGREEN è in grado di convalidare internamente.

9. Denial-of-service causato dai permessi di tre componenti Android.

Qualsiasi informazione fornita a UGREEN riguardo a vulnerabilità nei prodotti NAS, incluse tutte le informazioni contenute nei report di vulnerabilità dei prodotti, sarà di proprietà e utilizzata da UGREEN.

UGREEN si riserva il diritto di modificare questa politica in qualsiasi momento.