Rapport de vulnérabilité

Politique de signalement et de divulgation des vulnérabilités

En vigueur à compter du 1er mars 2026

TuxCare, Inc. est une autorité de numérotation CVE (CNA) agréée et enregistrée auprès du programme CVE (cve.org). Notre champ d'application en tant que CNA couvre les vulnérabilités des produits développés, maintenus et distribués par TuxCare, Inc., notamment TuxCare Endless Lifecycle Support (ELS) et TuxCare SecureChain for OSS.

En tant qu'organisme de notification de vulnérabilités (CNA), TuxCare peut attribuer directement des identifiants CVE aux vulnérabilités concernées et publier des fiches CVE faisant autorité sur cve.org. La présente politique décrit la procédure à suivre pour nous signaler des vulnérabilités et le déroulement du processus de divulgation.

Comment signaler une faille de sécurité

Envoyez vos rapports de vulnérabilité à l'adresse [email protected]. Pour les informations sensibles, cryptez votre message à l'aide de notre clé PGP de sécurité.

Veuillez indiquer :

Type de vulnérabilité (par exemple, exécution de code à distance, élévation de privilèges, injection SQL, divulgation d'informations)
Produit, service ou composant concerné — et version, si elle est connue
Instructions détaillées pour la reproduction
Éléments justificatifs (captures d'écran, journaux, code de validation de principe)
Votre évaluation de l'impact potentiel

Le processus de divulgation

Lorsque vous signalez une faille de sécurité à TuxCare, voici ce qui se passe :

Étape 1 — Remerciements

Nous vous confirmerons la réception de votre signalement dans un délai de 3 jours ouvrables.

Étape 2 — Triage et attribution d'un identifiant CVE

Dans les 5 jours ouvrables suivant la réception de votre signalement, nous déterminerons si le problème correspond à une vulnérabilité valide relevant de notre champ d'application CNA.

Si la vulnérabilité est confirmée, nous lui attribuons un identifiant CVE dans les 24 heures suivant la décision de triage et vous communiquons cet identifiant ainsi que le calendrier de divulgation prévu. Nous fournissons également une première évaluation de la gravité (score CVSS).
Si le problème ne relève pas de notre domaine de compétence au sein du CNA, nous vous orienterons vers le CNA compétent ou vous renverrons vers cveform.mitre.org afin d'éviter toute duplication des tâches.
Si le rapport ne correspond pas à une vulnérabilité, nous vous expliquerons notre raisonnement.

Étape 3 — Remédiation

Nous nous employons à mettre au point et à valider une solution. Notre délai d'embargo standard est de 90 jours à compter de la date de confirmation du triage. Nous vous tiendrons informés de l'avancement des travaux au fur et à mesure de leur progression. Si la complexité du problème nécessite un délai supplémentaire, nous vous en informerons sans tarder et vous demanderons une prolongation raisonnable.

Étape 4 — Communication publique coordonnée

Une fois qu'un correctif est prêt et testé :

Nous vous informons de la date de publication prévue pour cet avis.
Nous publions un avis de sécurité sur tuxcare.com/cve-tracker.
Dans les 24 heures suivant la publication de l'avis, nous publions la fiche CVE sur cve.org.
L'embargo est levé, et vous êtes libre de publier vos propres travaux de recherche.

Votre rôle en tant que journaliste

La divulgation coordonnée nécessite un engagement commun. Nous vous demandons de bien vouloir :

Attendez pour divulguer l'information jusqu'à ce que TuxCare ait publié son avis et vous ait informé de la levée de l'embargo, ou jusqu'à ce que 90 jours se soient écoulés depuis votre signalement initial — selon la première éventualité.
Si vous prévoyez de publier des travaux de recherche indépendants, veuillez nous en informer afin que nous puissions coordonner la date de publication de notre avis.
Réduisez au minimum l'impact de vos recherches : évitez de détruire des données, ne perturbez pas les systèmes de production au-delà de ce qui est nécessaire pour confirmer la vulnérabilité, et n'accédez pas aux données appartenant à d'autres utilisateurs.
N'utilisez les failles que pour confirmer l'existence de la vulnérabilité — n'exploitez pas cet accès à d'autres fins.

Si vous divulguez publiquement cette information avant que nous ayons publié un correctif, nous nous réservons le droit d'avancer la date de publication de notre avis de sécurité sans préavis.

Nous n'engagerons aucune poursuite judiciaire à l'encontre des chercheurs qui agissent de bonne foi conformément à la présente politique.

Reconnaissance

TuxCare ne propose pas de programme de prime aux bogues rémunéré. Avec votre accord, nous citons les chercheurs dans l'avis de sécurité correspondant et dans l'enregistrement CVE, et nous sommes heureux de reconnaître les contributions de bonne foi à la sécurité de nos produits, même lorsqu'aucun identifiant CVE n'est attribué.

Vulnérabilités concernées

Produits couverts par le champ d'application du programme CNA de TuxCare (identifiants CVE attribués directement)

TuxCare est la référence en matière de CNA pour les vulnérabilités dans :

Assistance à vie TuxCare (ELS) — tous les systèmes d'exploitation et toutes les versions des langages de programmation pris en charge
TuxCare SecureChain pour les logiciels libres

Pour les vulnérabilités confirmées dans ces produits, TuxCare attribuera un identifiant CVE dans les 24 heures suivant le triage et publiera la fiche CVE sur cve.org dans les 24 heures suivant la publication de l'avis de sécurité.

Autres produits acceptés (hors du champ d'application de la CNA)

Nous acceptons également les rapports de vulnérabilité concernant le logiciel TuxCare Live Patching (KernelCare). Étant donné que le Live Patching ne relève pas actuellement de notre champ de compétence en tant qu'autorité de notification de vulnérabilité (CNA), nous n'attribuerons pas directement d'identifiant CVE à ces rapports. Si un identifiant CVE s'avère nécessaire, nous coordonnerons notre action avec la CNA compétente et vous tiendrons informés. Le processus de divulgation et les délais applicables restent les mêmes.

Problèmes hors du champ d'application

Les éléments suivants ne sont généralement pas considérés comme des vulnérabilités valides :

Le clickjacking sur les pages ne comportant pas d'actions sensibles
CSRF sur les points de terminaison non authentifiés
Attaques nécessitant un accès physique ou une position privilégiée sur le réseau (MITM) sans impact avéré
En-têtes de sécurité manquants sans preuve de concept fonctionnelle
Attaques par déni de service
Divulgation de la version ou de la configuration du logiciel
Manipulations psychologiques visant le personnel de TuxCare

Les engagements de TuxCare

Engagement	Chronologie
Accusez réception de votre rapport	Dans un délai de 3 jours ouvrables
Attribuer un identifiant CVE (si applicable)	Dans les 24 heures suivant la décision de triage
Vous informer du numéro d'identification CVE et du niveau de gravité	Même notification que pour l'attribution d'un CVE
Fournir des informations sur l'avancement des mesures correctives	Pendant toute la durée de l'embargo
Publier la fiche CVE sur cve.org	Dans les 24 heures suivant la publication de l'avis
Vous mentionner dans le rapport de conseil et le dossier CVE	Si vous me le permettez