Informes sobre vulnerabilidades

Política de notificación y divulgación de vulnerabilidades

En vigor a partir del 1 de marzo de 2026.

TuxCare, Inc. es una autoridad de numeración CVE (CNA) autorizada y registrada en el Programa CVE (cve.org). El ámbito de nuestra CNA abarca las vulnerabilidades de los productos desarrollados, mantenidos y distribuidos por TuxCare, Inc., incluidos TuxCare Endless Lifecycle Support (ELS) y TuxCare SecureChain for OSS.

En su calidad de CNA, TuxCare puede asignar directamente identificadores CVE a las vulnerabilidades que entran dentro de su ámbito de competencia y publicar registros CVE oficiales en cve.org. Esta política describe cómo notificarnos las vulnerabilidades y qué se puede esperar del proceso de divulgación.

Cómo informar de una vulnerabilidad

Envía los informes de vulnerabilidades a [email protected]. Para la divulgación de información confidencial, cifra tu mensaje utilizando nuestra clave PGP de seguridad.

Por favor, incluye:

Tipo de vulnerabilidad (por ejemplo, ejecución de código remoto, escalada de privilegios, inyección SQL, divulgación de información)
Producto, servicio o componente afectado —y versión, si se conoce—
Instrucciones paso a paso para la reproducción
Pruebas justificativas (capturas de pantalla, registros, código de prueba de concepto)
Tu valoración del posible impacto

El proceso de divulgación

Cuando notifiques una vulnerabilidad a TuxCare, esto es lo que sucederá:

Paso 1 — Reconocimiento

Le confirmaremos la recepción de su informe en un plazo de 3 días hábiles.

Paso 2 — Clasificación y asignación de identificadores CVE

En un plazo de 5 días hábiles a partir de la recepción de la notificación, evaluaremos si el problema constituye una vulnerabilidad válida dentro del ámbito de nuestra CNA.

Si se confirma el alcance, asignamos un identificador CVE en un plazo de 24 horas desde la decisión de clasificación y le comunicamos dicho identificador, así como el calendario de divulgación previsto. También le facilitamos una evaluación inicial de la gravedad (puntuación CVSS).
Si el asunto queda fuera del ámbito de competencia de nuestro CNA, le remitiremos al CNA correspondiente o le recomendaremos que visite cveform.mitre.org para evitar la duplicación de tareas.
Si el informe no cumple los requisitos para considerarse una vulnerabilidad, explicaremos nuestros motivos.

Paso 3 — Remediación

Estamos trabajando para desarrollar y verificar una solución. Nuestro plazo de embargo habitual es de 90 días a partir de la fecha de confirmación de la clasificación. Le mantendremos informado sobre los avances a medida que se vaya llevando a cabo la corrección. Si se necesita más tiempo debido a la complejidad del caso, se lo notificaremos de inmediato y le solicitaremos una prórroga razonable.

Paso 4 — Divulgación pública coordinada

Una vez que el parche está listo y se ha probado:

Le informamos de la fecha prevista para la publicación del aviso.
Publicamos un aviso de seguridad en tuxcare.com/cve-tracker.
En las 24 horas siguientes a la publicación del aviso, publicamos el registro CVE en cve.org.
Se levanta el embargo y ya puedes publicar tu propia investigación.

Tu papel como reportero

La divulgación coordinada requiere un compromiso conjunto. Le pedimos que:

No divulgues la información hasta que TuxCare haya publicado su aviso y te haya notificado que se ha levantado el embargo, o hasta que hayan transcurrido 90 días desde tu notificación inicial, lo que ocurra primero.
Si tienes pensado publicar un estudio independiente, coordínate con nosotros en cuanto a los plazos para que podamos ajustar la fecha de publicación del informe.
Minimiza el impacto durante tu investigación: evita destruir datos, no interrumpas los sistemas de producción más allá de lo necesario para confirmar la vulnerabilidad y no accedas a los datos de otros usuarios.
Utiliza los exploits únicamente para confirmar la vulnerabilidad; no aproveches el acceso para ningún otro fin.

Si divulga la información públicamente antes de que hayamos publicado un parche, nos reservamos el derecho a adelantar la fecha de publicación de nuestro aviso sin previo aviso.

No emprenderemos acciones legales contra los investigadores que actúen de buena fe y de conformidad con esta política.

Reconocimiento

TuxCare no cuenta con un programa de recompensas por errores. Con tu permiso, mencionamos a los investigadores en el aviso de seguridad correspondiente y en el registro CVE, y nos complace reconocer las contribuciones de buena fe a la seguridad de nuestros productos, incluso cuando no se justifique la asignación de un CVE.

Vulnerabilidades incluidas en el alcance

Productos incluidos en el ámbito de aplicación del CNA de TuxCare (con identificadores CVE asignados directamente)

TuxCare es la fuente de referencia en materia de vulnerabilidades en:

Soporte de ciclo de vida ilimitado (ELS) de TuxCare: todos los sistemas operativos y versiones de lenguajes de programación compatibles
TuxCare SecureChain para software libre

En el caso de las vulnerabilidades confirmadas en estos productos, TuxCare asignará un identificador CVE en un plazo de 24 horas tras la evaluación inicial y publicará el registro CVE en cve.org en un plazo de 24 horas tras la publicación del aviso público.

Otros productos aceptados (fuera del ámbito de la CNA)

También aceptamos informes de vulnerabilidades relacionados con el software TuxCare Live Patching (KernelCare). Dado que Live Patching no entra actualmente dentro del ámbito de competencia de nuestra CNA, no asignaremos directamente identificadores CVE a estos informes; si se justifica la asignación de un identificador CVE, coordinaremos la acción con la CNA correspondiente y le mantendremos informado. Se aplican el mismo proceso de divulgación y los mismos plazos.

Cuestiones que quedan fuera del ámbito de aplicación

Por lo general, no se consideran vulnerabilidades válidas los siguientes casos:

Clickjacking en páginas sin acciones delicadas
CSRF en puntos finales sin autenticación
Ataques que requieren acceso físico o una posición privilegiada en la red (MITM) sin que se haya demostrado su impacto
Faltan encabezados de seguridad sin una prueba de concepto funcional
Ataques de denegación de servicio
Divulgación de la versión o la configuración del software
Ingeniería social dirigida al personal de TuxCare

Los compromisos de TuxCare

Compromiso	Cronología
Confirmar la recepción de tu informe	En un plazo de 3 días laborables
Asignar un identificador CVE (si procede)	En las 24 horas siguientes a la decisión de triaje
Informarle del identificador CVE y del nivel de gravedad	La misma notificación que la asignación de CVE
Proporcionar información actualizada sobre las medidas correctivas	Durante todo el período del embargo
Publicar el registro CVE en cve.org	En el plazo de 24 horas desde la publicación del aviso
Te daremos crédito en el informe de asesoramiento y en el registro de CVE	Si me lo permites