Comunicação de vulnerabilidades: Protegendo juntos os nossos sistemas
A equipe de resposta de segurança da Cloudera fornece um único ponto de contato para que os clientes e a comunidade relatem e forneçam informações sobre vulnerabilidades de segurança nos produtos da Cloudera. A equipe trabalha internamente com as organizações de engenharia e suporte, bem como com a comunidade externa da Apache, para identificar, corrigir e comunicar vulnerabilidades de segurança em todos os produtos da Cloudera.
Como informar uma vulnerabilidade
A Cloudera incentiva os clientes e a comunidade a informarem vulnerabilidades de segurança à nossa Equipe de Resposta de Segurança antes de divulgá-las em um fórum público.
Caso não seja um cliente atual da Cloudera, envie um e-mail para security@cloudera.com para informar uma vulnerabilidade.
- Se você for cliente da Cloudera, crie um caso de suporte no Portal de Suporte. Inclua detalhes sobre a versão do software que você está usando e sobre o hardware em que o software está sendo executado. Para quaisquer vulnerabilidades encontradas em www.cloudera.com ou em sites afiliados, inclua o URL completo do site ou página onde a vulnerabilidade pode ser encontrada.
Evite enviar relatórios sobre as seguintes vulnerabilidades:
Problemas gerais de baixa gravidade relatados por scanners automatizados
Falta de cabeçalhos de segurança (ex.: HSTS, CSP, SPF, DMARC)
Flags ausentes em Cookies
Problemas de SSL (cifras fracas/tamanho da chave)
Falsificação de solicitação entre sites (CSRF) em formulários não autenticados ou em formulários sem impacto na segurança
Clickjacking
Outros problemas gerais de baixa severidade relatados por scanners automatizados
Limitação de taxa (a menos que constitua um risco significativo)
Ataques que exigem MITM ou acesso físico ao dispositivo de um usuário
Bibliotecas vulneráveis conhecidas anteriormente sem uma prova de conceito funcional
Vulnerabilidades que afetam apenas usuários de navegadores desatualizados ou não corrigidos [Menos de 2 versões estáveis atrás da última versão estável lançada]
Problemas de divulgação da versão do software / identificação de banner
Para enviar seu relatório com segurança para a Cloudera, use a chave GPG abaixo.
CHAVE
BLOCO DE CHAVE PÚBLICA GPG
Copie e cole a chave abaixo:
Política de recompensa por bugs
Atualmente, a Cloudera não oferece um programa de recompensa por bugs para nenhuma vulnerabilidade de produto ou site.