Meldung von Sicherheitslücken

Richtlinie zur Meldung und Offenlegung von Schwachstellen

Gültig ab 1. März 2026

TuxCare, Inc. ist eine autorisierte CVE-Nummerierungsstelle (CNA), die beim CVE-Programm (cve.org) registriert ist. Unser CNA-Geltungsbereich umfasst Sicherheitslücken in Produkten, die von TuxCare, Inc. entwickelt, gewartet und vertrieben werden, darunter TuxCare Endless Lifecycle Support (ELS) und TuxCare SecureChain for OSS.

Als CNA kann TuxCare für betroffene Sicherheitslücken direkt CVE-IDs vergeben und verbindliche CVE-Einträge auf cve.org veröffentlichen. Diese Richtlinie beschreibt, wie Sie uns Sicherheitslücken melden können und was Sie im Rahmen des Offenlegungsprozesses erwarten können.

So melden Sie eine Sicherheitslücke

Bitte senden Sie Sicherheitslückenberichte an [email protected]. Bei vertraulichen Meldungen verschlüsseln Sie Ihre Nachricht bitte mit unserem PGP-Sicherheitsschlüssel.

Bitte geben Sie Folgendes an:

Art der Sicherheitslücke (z. B. RCE, Ausweitung von Berechtigungen, SQL-Injection, Offenlegung von Informationen)
Betroffenes Produkt, betroffene Dienstleistung oder betroffene Komponente – sowie, falls bekannt, die Version
Schritt-für-Schritt-Anleitung zur Nachbildung
Belege (Screenshots, Protokolle, Proof-of-Concept-Code)
Ihre Einschätzung der möglichen Auswirkungen

Das Offenlegungsverfahren

Wenn Sie TuxCare eine Sicherheitslücke melden, geschieht Folgendes:

Schritt 1 – Bestätigung

Wir bestätigen den Eingang Ihrer Meldung innerhalb von 3 Werktagen.

Schritt 2 – Triage und Zuweisung einer CVE-ID

Innerhalb von fünf Werktagen nach Eingang der Meldung prüfen wir, ob es sich bei dem Problem um eine gültige Sicherheitslücke handelt, die in den Geltungsbereich unserer CNA fällt.

Sofern der Umfang bestätigt wird, vergeben wir innerhalb von 24 Stunden nach der Triage-Entscheidung eine CVE-ID und teilen Ihnen die CVE-ID sowie unseren geplanten Zeitplan für die Offenlegung mit. Außerdem liefern wir eine erste Schweregradbewertung (CVSS-Score).
Sollte das Anliegen außerhalb unseres CNA-Zuständigkeitsbereichs liegen, leiten wir Sie an den zuständigen CNA weiter oder verweisen Sie auf cveform.mitre.org, um Doppelbearbeitungen zu vermeiden.
Sollte der Bericht nicht als Sicherheitslücke eingestuft werden, werden wir unsere Gründe dafür darlegen.

Schritt 3 – Sanierung

Wir arbeiten daran, eine Lösung zu entwickeln und zu überprüfen. Unsere übliche Sperrfrist beträgt 90 Tage ab dem Datum der bestätigten Triage. Wir werden Sie im Verlauf der Behebung über den aktuellen Stand auf dem Laufenden halten. Sollte aufgrund der Komplexität der Angelegenheit mehr Zeit benötigt werden, werden wir Sie umgehend informieren und um eine angemessene Verlängerung bitten.

Schritt 4 – Abgestimmte öffentliche Bekanntgabe

Sobald ein Patch fertig und getestet ist:

Wir teilen Ihnen den geplanten Veröffentlichungstermin der Mitteilung mit.
Wir veröffentlichen einen Sicherheitshinweis unter tuxcare.com/cve-tracker.
Innerhalb von 24 Stunden nach Veröffentlichung der Sicherheitsempfehlung veröffentlichen wir den CVE-Eintrag auf cve.org.
Das Embargo wird aufgehoben, und Sie können Ihre Forschungsergebnisse veröffentlichen.

Deine Rolle als Reporter

Eine abgestimmte Offenlegung erfordert gemeinsames Engagement. Wir bitten Sie daher:

Verzichte auf eine Veröffentlichung, bis TuxCare seinen Hinweis veröffentlicht und dir mitgeteilt hat, dass die Sperrfrist abgelaufen ist, oder bis 90 Tage seit deiner ersten Meldung vergangen sind – je nachdem, was zuerst eintritt.
Bitte stimmen Sie den Zeitplan mit uns ab, falls Sie beabsichtigen, eigene Forschungsergebnisse zu veröffentlichen, damit wir den Veröffentlichungstermin der Beratungsunterlage darauf abstimmen können.
Minimieren Sie die Auswirkungen während Ihrer Untersuchungen: Vermeiden Sie es, Daten zu zerstören, stören Sie die Produktionssysteme nicht stärker als zur Überprüfung der Sicherheitslücke erforderlich und greifen Sie nicht auf Daten anderer Benutzer zu.
Verwenden Sie Exploits ausschließlich zur Bestätigung der Sicherheitslücke – nutzen Sie den Zugriff nicht für andere Zwecke.

Sollten Sie die Informationen öffentlich bekannt geben, bevor wir einen Patch veröffentlicht haben, behalten wir uns das Recht vor, die Veröffentlichung unseres Sicherheitshinweises ohne vorherige Ankündigung vorzuziehen.

Wir werden keine rechtlichen Schritte gegen Forscher einleiten, die im Einklang mit dieser Richtlinie in gutem Glauben handeln.

Anerkennung

TuxCare betreibt kein kostenpflichtiges Bug-Bounty-Programm. Mit Ihrer Zustimmung nennen wir die Forscher in der entsprechenden Sicherheitsmitteilung und im CVE-Eintrag, und wir würdigen gerne in gutem Glauben geleistete Beiträge zur Sicherheit unserer Produkte, auch wenn keine CVE-Nummer vergeben wird.

Betroffene Sicherheitslücken

Produkte, die unter den CNA-Umfang von TuxCare fallen (direkt zugewiesene CVE-IDs)

TuxCare ist die maßgebliche Referenzquelle für Sicherheitslücken in:

TuxCare Endless Lifecycle Support (ELS) – alle unterstützten Betriebssysteme und Versionen der Programmiersprachen
TuxCare SecureChain für OSS

Bei bestätigten Sicherheitslücken in diesen Produkten vergibt TuxCare innerhalb von 24 Stunden nach der Triage eine CVE-ID und veröffentlicht den CVE-Eintrag auf cve.org innerhalb von 24 Stunden nach der Veröffentlichung der Sicherheitsmitteilung.

Weitere akzeptierte Produkte (außerhalb des CNA-Geltungsbereichs)

Wir nehmen auch Sicherheitslückenmeldungen für die TuxCare Live-Patching-Software (KernelCare) entgegen. Da Live-Patching derzeit nicht in den Zuständigkeitsbereich unserer CNA fällt, vergeben wir für diese Meldungen keine CVE-IDs direkt – sollte eine CVE-ID gerechtfertigt sein, werden wir uns mit der zuständigen CNA abstimmen und Sie auf dem Laufenden halten. Es gelten dieselben Offenlegungsverfahren und Fristen.

Themen, die nicht in den Geltungsbereich fallen

Folgende Punkte werden in der Regel nicht als gültige Sicherheitslücken anerkannt:

Clickjacking auf Seiten ohne sensible Aktionen
CSRF bei nicht authentifizierten Endpunkten
Angriffe, die physischen Zugriff oder eine privilegierte Netzwerkposition (MITM) erfordern, ohne dass Auswirkungen nachgewiesen wurden
Fehlende Sicherheits-Header ohne funktionierendes Proof-of-Concept
Denial-of-Service-Angriffe
Offenlegung der Softwareversion oder -konfiguration
Social Engineering gegenüber Mitarbeitern von TuxCare

Die Verpflichtungen von TuxCare

Engagement	Zeitleiste
Bestätigen Sie den Erhalt Ihres Berichts	innerhalb von 3 Werktagen
Eine CVE-ID zuweisen (sofern zutreffend)	innerhalb von 24 Stunden nach der Triage-Entscheidung
Ihnen die CVE-ID und den Schweregrad mitteilen	Gleiche Benachrichtigung wie bei der CVE-Zuweisung
Aktuelle Informationen zur Sanierung bereitstellen	Während der gesamten Dauer des Embargos
Veröffentlichen Sie den CVE-Eintrag auf cve.org	innerhalb von 24 Stunden nach der öffentlichen Bekanntmachung
Sie in der Beratungs- und CVE-Aufzeichnung als Mitwirkenden nennen	Wenn Sie nichts dagegen haben