脆弱性公開ポリシー
責任ある脆弱性の開示
私たちは、責任あるセキュリティ研究と開示が会員およびユーザーの安全を守る方法を継続的に改善するのに役立つと信じています。
脆弱性対応
脆弱性の報告
セキュリティ脆弱性の可能性がある場合は、
を通じてご報告ください。レポート提出の際には、以下の情報を記載していただくようお願いします。
- 報告者の連絡先（メールアドレス）
- 脆弱性が含まれるソフトウェアの名称とバージョン
- 脆弱性の詳細な説明
- 問題を再現するための手順
脆弱性報告の対象
脆弱性報告の対象は、以下のリポジトリで管理されるソフトウェアに限らせていただきます。
脆弱性対応のプロセス
脆弱性対応のプロセスは、以下の5つのステップで構成されます。
1. 報告受付
脆弱性の報告を受信した日を起点として、7日以内に報告を受け付けた旨を報告者に返信します。
2. 脆弱性調査
ソフトウェアに対する脆弱性の影響を調査します。調査結果については、報告者と共有します。
3. 対策準備
脆弱性の内容に応じて、以下のような対策を準備します。
- 修正： 脆弱性を除去もしくは軽減するためのパッチ、修正版など
- 回避策： 脆弱性を利用した攻撃の影響を減らすためのアクションなど
4. CVE ID の採番
調査の結果、当コンソーシアムの管理対象プロダクトにおける未公開の脆弱性と確認された場合、CNA として該当の脆弱性に対し CVE ID を割り当て、報告者へ通知します。
5. セキュリティアドバイザリおよび CVE Record の公開
対策の準備が整い次第、当サイトの セキュリティアドバイザリー一覧 にて CVE ID を含めたアドバイザリを公開します。同時に、CVE Services へ CVE Record を登録・公開します。
なお、セキュリティアドバイザリーおよび CVE Record の公開時期については、報告者と事前に共有・調整を行います。